Alta 7.5 CVSS 3.1 ordersexport Publicado el 06/12/2023

Descarga de datos personales sin restricción en Orders Export PRO (ordersexport) antes de la 5.2.0

CVECVE-2023-46354 GHSASin aviso GHSA

Ver en la fuente Ver JSON Última modificación en la fuente: 17/06/2026

Descripción

En el módulo «Orders (CSV, Excel) Export PRO» (ordersexport) < 5.2.0, de MyPrestaModules, para PrestaShop, un invitado puede descargar información personal sin restricción. Por falta de control de permisos, un invitado puede acceder a las exportaciones del módulo, lo que puede provocar una fuga de información personal de las tablas ps_customer y ps_address: nombre, apellidos, correo, teléfono y dirección postal completa.

Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.

Métricas CVSS 3.1

Fuente: nvd@nist.gov · primary

Alta 7.5

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed

ComplejidadBaja

Privilegios requeridosNinguna

Interacción del usuarioNinguna

AlcanceSin cambio

ConfidencialidadAlta

IntegridadNinguna

DisponibilidadNinguna

Referencias

Third Party Advisorysecurity.friendsofpresta.org
https://security.friendsofpresta.org/modules/2023/11/28/ordersexport.html

¿Has encontrado una vulnerabilidad?

Escribe al equipo de seguridad del core de PrestaShop:

security-core@prestashop.com

Avisos relacionados

Mismo módulo: ordersexport

Todos los avisos de ordersexport (3)

IDAvisoComponenteSeveridadVersiones afectadasPublicadoParche

CVE-2024-28396 Ejecución de código arbitrario por download.php en el módulo ordersexport de MyPrestaModules hasta la 6.0.2 ordersexport Alta 7.5 ≤ 6.0.2 20/03/2024 No

CVE-2023-40923 Múltiples inyecciones SQL en send.php del módulo ordersexport de MyPrestaModules antes de la 5.0 ordersexport Alta 8.8 < 5.0 15/11/2023 Sí

¿Usas el módulo ordersexport?

PrestaShield lo comprueba desde fuera, sin acceso FTP, y te avisa de cada aviso nuevo que te afecte.

Detectar si mi tienda está afectada