Descripción
Algunos atributos no se escapan en el método Validate::isCleanHTML
Descripción
El método isCleanHTML no detecta algunos atributos de evento.
Impacto
Algunos módulos que usan el método isCleanHTML podrían ser vulnerables a XSS.
Parches
8.1.3, 1.7.8.11
Soluciones alternativas
La mejor solución es usar la librería HTMLPurifier para sanear el HTML que llega de los usuarios. La librería ya está disponible como dependencia del proyecto PrestaShop. Ten en cuenta, eso sí, que en los object models legacy los campos de tipo HTML llaman a isCleanHTML.
Reportada por
Antonio Russo (@Antonio-R1 en GitHub) y Antonio Rocco Spataro (@antoniospataro en GitHub).
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: security-advisories@github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:NVector de ataqueRed
ComplejidadBaja
Privilegios requeridosAlta
Interacción del usuarioRequerida
AlcanceCambia
ConfidencialidadAlta
IntegridadAlta
DisponibilidadNinguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com