Descripción
El módulo blockwishlist de PrestaShop, hasta la versión 3.0.2, no valida la propiedad de la lista de deseos en el método getUrlByIdWishListAction, lo que permite a clientes autenticados obtener los tokens de compartir de cualquier lista por su identificador. Un atacante puede probar identificadores secuenciales para obtener enlaces válidos y leer el contenido privado de las listas de deseos de otros clientes.
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 4.0
Fuente: disclosure@vulncheck.com · secondaryCVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N/Vector de ataqueRed
ComplejidadBaja
Requisitos del ataqueNinguna
Privilegios requeridosBaja
Interacción del usuarioNinguna
Confidencialidad (sistema)Baja
Integridad (sistema)Ninguna
Disponibilidad (sistema)Ninguna
Confidencialidad (otros)Ninguna
Integridad (otros)Ninguna
Disponibilidad (otros)Ninguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com