Descripción
En el módulo «PayPal Official» para PrestaShop 1.7+ en versiones anteriores a la 6.4.2, y para PrestaShop 1.6 en versiones anteriores a la 3.18.1, un cliente malicioso puede confirmar un pedido aunque PayPal rechace finalmente el pago. Una debilidad lógica durante la captura de un pago, cuando los webhooks están desactivados, permite crear un pedido aceptado. Esto permitiría a un atacante confirmar un pedido con un justificante de pago fraudulento. Las versiones 6.4.2 y 3.18.1 incluyen el parche. Además, conviene activar los webhooks y comprobar que son accesibles.
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: security-advisories@github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:NVector de ataqueRed
ComplejidadBaja
Privilegios requeridosNinguna
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadAlta
DisponibilidadNinguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com