Inyección de fórmulas en las exportaciones CSV (inyección CSV)

Inyección de fórmulas en las exportaciones CSV (inyección CSV)

Impacto

Se trata de una inyección de fórmulas en los ficheros que exporta PrestaShop, conocida comúnmente como inyección CSV.

Las aplicaciones de hoja de cálculo tratan como fórmulas, y no como texto, las celdas que empiezan por ciertos caracteres. PrestaShop escribía los valores exportados tal cual, sin neutralizar esos caracteres.

Quien corre el riesgo no es el servidor de la tienda, sino quien abre la exportación: un comerciante, un empleado, un contable o el propio cliente en la exportación RGPD.

Parches

Actualiza a la 9.1.5 o la 8.2.8

Soluciones alternativas

El riesgo se puede reducir sin actualizar, aunque depende de la disciplina del comerciante y no de la aplicación:

• no abras los CSV exportados con doble clic: abre primero la hoja de cálculo y usa su asistente de importación de texto, poniendo todas las columnas como «texto»;
• mantén la hoja de cálculo actualizada y no aceptes nunca un aviso que pida habilitar contenido o actualizar vínculos al abrir una exportación;
• si solo necesitas leer una exportación, ábrela en un editor de texto plano;
• corrige antes de exportar cualquier valor del back office que parezca raro, por ejemplo un alias o un nombre que empiece por =, +, - o @.

Referencias

• CWE-1236: Improper Neutralization of Formula Elements in a CSV File
• OWASP: CSV Injection
• Para notificar un problema de seguridad: security-core@prestashop.com

Créditos: esta vulnerabilidad fue reportada de forma responsable al equipo de seguridad de PrestaShop por Suphawith Phusanbai (ILOVEPEPPERONI). Le agradecemos el informe y la coordinación de la divulgación.