Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes

Control de acceso incorrecto en el endpoint de notificaciones del back office expone datos de clientes

Impacto

Se trata de un control de acceso roto en el back office.

Los datos que alimentan el panel de notificaciones de la cabecera del back office se servían sin comprobar los permisos del empleado. Cualquier cuenta de empleado, incluso una cuyo perfil no concede ningún permiso, podía leer información reciente de clientes y pedidos: nombres de clientes, importes de pedidos, transportista y estado del pedido.

Afecta a las tiendas que usan perfiles de empleado restringidos para separar funciones entre personal, agencias o colaboradores externos. La explotación requiere una sesión válida del back office, así que el front y los visitantes anónimos no están afectados. Los datos expuestos son personales, por lo que el problema también tiene una dimensión RGPD para los comerciantes.

Parches

Los endpoints de notificaciones exigen ahora permiso de lectura sobre pedidos, clientes o hilos de atención al cliente, y devuelven «forbidden» en caso contrario.

Actualiza a PrestaShop 9.1.5 o PrestaShop 8.2.8

Soluciones alternativas

No hay solución alternativa por configuración: el endpoint forma parte del back office estándar y lo llama cada empleado conectado.

Referencias

• CWE-862: Missing Authorization
• Para notificar un problema de seguridad: security-core@prestashop.com

Créditos: esta vulnerabilidad fue reportada de forma responsable al equipo de seguridad de PrestaShop por Robert Scherer. Le agradecemos el informe y la coordinación de la divulgación.