Descripción
Inyección SQL autenticada en el módulo productcomments
Impacto
Una inyección SQL autenticada (CWE-89) afecta al módulo oficial productcomments hasta la versión 8.0.0 incluida.
Cuando se guarda un criterio de valoración desde la página de configuración del módulo, los identificadores de categoría y de producto enviados se insertan en consultas SQL sin sanear ni vincular como parámetros, lo que permite inyectar SQL arbitrario.
La explotación requiere una cuenta de empleado del back office con acceso a la página de configuración del módulo; no hacen falta permisos de administrador completos. Un ataque con éxito permite leer o modificar la base de datos de la tienda.
Parches
El problema está corregido en productcomments 8.0.1. Tanto updateCategories() como updateProducts() usan ahora parámetros vinculados y convierten los identificadores a enteros.
Quien use productcomments 8.0.0 o anterior debe actualizar el módulo a la 8.0.1.
Soluciones alternativas
Si no puedes actualizar de inmediato y quieres parchear el módulo a mano, encontrarás el cambio necesario en este commit:
El único fichero modificado es src/Repository/ProductCommentCriterionRepository.php
Créditos
Reportada por Jean-Jamil Khalife (HDWSec: https://hdwsec.fr)
Texto original de GitHub Security Advisory, licenciaCC BY 4.0. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:HReferencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com