Descripción
Inyección SQL a través de los filtros de los listados del back office
Impacto
Se trata de una inyección SQL en el back office.
Los nombres de filtro que usan los listados del back office no se validaban lo suficiente antes de usarlos para construir la consulta correspondiente. Enviando un nombre de filtro manipulado, un empleado conectado podía hacer que la tienda ejecutase la consulta que él quisiera.
Eso permitía leer datos de cualquier parte de la base de datos de la tienda, mucho más allá de lo que permite su perfil, incluidos los hashes de contraseña de los empleados y las tablas completas de clientes y pedidos. Quien lo reportó lo demostró con el perfil predefinido más restringido, así que el sistema de permisos no contenía el problema.
Parches
Actualiza a PrestaShop 9.1.5 o PrestaShop 8.2.8
El código defectuoso pertenece al controlador legacy del back office y también está en 1.7.x y anteriores, que han llegado al fin de su vida útil y no recibirán parche.
Soluciones alternativas
Ninguna
Referencias
- CWE-89: Improper Neutralization of Special Elements used in an SQL Command
- OWASP: SQL Injection Prevention Cheat Sheet
- Para notificar un problema de seguridad: security-core@prestashop.com
Créditos: esta vulnerabilidad fue descubierta por Claude (Anthropic) dentro del programa de divulgación coordinada de vulnerabilidades de Anthropic, verificada por Doyensec y reportada de forma responsable al equipo de seguridad de PrestaShop por Savio (Doyensec). Les agradecemos el informe y la coordinación de la divulgación.
Texto original de GitHub Security Advisory, licenciaCC BY 4.0. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:NReferencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com