XSS almacenado sin autenticación en ajax.php del módulo xipblog hasta la 2.0.1

El módulo xipblog, en la versión 2.0.1 y anteriores, para PrestaShop permite a atacantes remotos sin autenticar inyectar JavaScript arbitrario a través de los parámetros name y content de ajax.php. La entrada se guarda en la base de datos sin sanear el HTML y se pinta en plantillas Smarty sin escapar la salida, lo que da lugar a un Cross-Site Scripting almacenado (XSS). Cuando un administrador revisa los comentarios en el back office, el código se ejecuta en el contexto de su sesión de administrador y compromete toda la tienda.