Se puede guardar un XSS en la base de datos desde el formulario «añadir un mensaje» del detalle de pedido (front)

Se puede guardar un XSS en la base de datos desde el formulario «añadir un mensaje» del detalle de pedido (front)

Impacto

Este formulario no usa el método isCleanHtml, lo que permite guardar un XSS en la base de datos. El impacto es bajo porque el HTML no se interpreta en el back office, gracias al mecanismo de escape de Twig. En el front, el XSS sí es efectivo, pero solo afecta al cliente que lo envía, o a la sesión de cliente desde la que se envió.

Ten cuidado si tienes un módulo que lea esos mensajes de la base de datos y los muestre sin escapar el HTML.

Parches

8.1.x

Reportada por

Rona Febriana (linkedin: https://www.linkedin.com/in/rona-febriana/)