Descripción
Algunos ZIP del módulo autoupgrade eran vulnerables por CVE-2017-9841
Impacto
Hemos detectado que algunos archivos ZIP del módulo autoupgrade se construyeron con las dependencias de desarrollo de phpunit. PHPUnit contiene un script PHP que, en un servidor web, permitiría a un atacante ejecutar código remoto (RCE).
Esta vulnerabilidad afecta a
- phpunit antes de la 4.8.28 y 5.x antes de la 5.6.3, según CVE-2017-9841
- phpunit >= 5.63 antes de la 7.5.19 y la 8.5.1 (una vulnerabilidad nueva que se está enviando como CVE tras comunicarla a los mantenedores de phpunit)
Puedes leer el comunicado oficial de PrestaShop sobre esta vulnerabilidad aquí.
Parches
En el parche de seguridad buscamos la carpeta vendor/phpunit no deseada y la borramos si la encontramos. Así los usuarios corrigen el problema de seguridad al actualizar.
Soluciones alternativas
Los usuarios también pueden borrar sin más la carpeta vendor/phpunit.
Referencias
https://nvd.nist.gov/vuln/detail/CVE-2017-9841
Más información
Si tienes preguntas o comentarios sobre este aviso, escríbenos a security@prestashop.com
Texto original de GitHub Security Advisory, licenciaCC BY 4.0. Traducción de PrestaShield.
Referencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com