Descripción
XSS potencial por el uso de la etiqueta nofilter en la plantilla
Impacto
No se puede explotar en una instalación limpia de PrestaShop; solo afecta a las tiendas que un módulo de terceros haya hecho vulnerables.
Por ejemplo, si tu tienda tiene un módulo de terceros vulnerable a inyecciones SQL, ps_contactinfo podría ejecutar un XSS almacenado en el front.
Parches
La solución a largo plazo es tener todos los módulos mantenidos y actualizados. La corrección en ps_contactinfo evita que las direcciones formateadas muestren un XSS guardado en la base de datos.
Soluciones alternativas
Ninguna
Referencias
Ninguna
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: security-advisories@github.com · secondaryCVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:L/A:HVector de ataqueRed
ComplejidadAlta
Privilegios requeridosAlta
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadBaja
DisponibilidadAlta
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com