Descripción
El módulo de búsqueda por facetas podría ser vulnerable por CVE-2017-9841
Impacto
Hemos detectado que algunos archivos ZIP del módulo ps_facetedsearch se construyeron con las dependencias de desarrollo de phpunit. PHPUnit contiene un script PHP que, en un servidor web, permitiría a un atacante ejecutar código remoto (RCE).
Esta vulnerabilidad afecta a
- phpunit antes de la 4.8.28 y 5.x antes de la 5.6.3, según CVE-2017-9841
- phpunit >= 5.63 antes de la 7.5.19 y la 8.5.1 (una vulnerabilidad nueva que se está enviando como CVE tras comunicarla a los mantenedores de phpunit)
Puedes leer el comunicado oficial de PrestaShop sobre esta vulnerabilidad aquí.
Parches
En el parche de seguridad buscamos la carpeta vendor/phpunit no deseada y la borramos si la encontramos. Así los usuarios corrigen el problema de seguridad al actualizar.
Soluciones alternativas
Los usuarios también pueden borrar sin más la carpeta vendor/phpunit.
Referencias
https://nvd.nist.gov/vuln/detail/CVE-2017-9841
Más información
Si tienes preguntas o comentarios sobre este aviso, escríbenos a security@prestashop.com
Texto original de GitHub Security Advisory, licenciaCC BY 4.0. Traducción de PrestaShield.
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com