Suplantación de la IP del cliente mediante X-Forwarded-For en Tools::getRemoteAddr()

Vulnerabilidad de control de acceso incorrecto en la función Tools::getRemoteAddr() de PrestaShop, que permite suplantar la dirección IP del cliente a través de la cabecera X-Forwarded-For cuando la aplicación funciona detrás de un proxy inverso, un balanceador de carga o una CDN. La aplicación procesa incorrectamente la cadena de direcciones IP y usa la dirección controlada por el visitante en vez de la que aporta la infraestructura de confianza, lo que permite a un atacante remoto sin autenticar hacer que la aplicación interprete su conexión como originada desde una dirección IP arbitraria. Esta condición permite eludir los controles basados en IP, como la lista blanca del modo mantenimiento, además de falsear los registros de seguridad y auditoría y evadir mecanismos de terceros que dependen de la dirección IP, como comprobaciones de geolocalización, detección de fraude o limitación de peticiones.