Descripción
CWE-79: XSS almacenado ejecutable en la vista de atención al cliente
Impacto
Se trata de una vulnerabilidad de Cross-Site Scripting (XSS) almacenado en la vista de Atención al cliente del back office de PrestaShop.
Un atacante sin autenticar puede enviar el formulario público «Contacta con nosotros» con una dirección de correo maliciosa. La carga se guarda en la base de datos y se ejecuta cuando un empleado del back office abre el hilo del cliente afectado, lo que permite secuestrar la sesión y tomar el control completo del back office.
Parches
Corregido en PrestaShop 8.2.6 y 9.1.1
Soluciones alternativas
Ninguna
Referencias
- Reportada por Savio, de Doyensec (
anthropic@doyensec.com), en colaboración con Anthropic Research
Texto original de NVD (NIST), dominio público. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: security-advisories@github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:NVector de ataqueRed
ComplejidadBaja
Privilegios requeridosNinguna
Interacción del usuarioRequerida
AlcanceCambia
ConfidencialidadAlta
IntegridadAlta
DisponibilidadNinguna
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com