Descripción
El módulo M4 PDF para sitios PrestaShop, en su versión 3.2.3 y anteriores, es vulnerable a la generación de documentos HTML arbitrarios. El recurso /m4pdf/pdf.php usa plantillas para crear documentos dinámicamente. Si la plantilla no existe, la aplicación devuelve un documento fijo con un mensaje en formato mpdf. Un atacante podría explotar esta vulnerabilidad pasando un documento HTML/CSS válido como valor del parámetro.
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: cve-coordination@incibe.es · secondaryCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NVector de ataqueRed
ComplejidadBaja
Privilegios requeridosBaja
Interacción del usuarioRequerida
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadBaja
DisponibilidadNinguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com