Descripción
Falsificación de peticiones del lado del servidor (SSRF) mediante las URL de imágenes en la importación CSV
Impacto
Se trata de una falsificación de peticiones del lado del servidor (SSRF) en la función de importación del back office.
Al importar productos desde un fichero CSV, el servidor de la tienda descarga cada dirección de imagen listada en el fichero. Esas direcciones no se comprobaban, así que el servidor descargaba lo que le indicaran, con una posible escalada a ejecución de código arbitrario.
La función requiere un empleado del back office con permiso de importación, así que hace falta una cuenta con privilegios.
Parches
Actualiza a la 9.1.5 o la 8.2.8
Soluciones alternativas
La exposición se puede reducir mucho sin actualizar:
- Restringe la función de importación: quita el permiso de importación a los perfiles que no lo necesiten e importa solo ficheros de una fuente de confianza.
- Filtra el tráfico saliente para que el servidor web no pueda llegar a tu red privada ni al servicio de metadatos de tu proveedor cloud.
Referencias
- CWE-918: Server-Side Request Forgery
- CWE-502: Deserialization of Untrusted Data
- OWASP: Server Side Request Forgery Prevention Cheat Sheet
_Créditos: esta vulnerabilidad fue reportada de forma responsable al equipo de seguridad de PrestaShop por lrui1 (https://github.com/lrui1). Le agradecemos el informe detallado con prueba de concepto y la coordinación de la divulgación._
Texto original de GitHub Security Advisory, licenciaCC BY 4.0. Traducción de PrestaShield.
Métricas CVSS 3.1
Fuente: github.com · secondaryCVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:L/A:LReferencias
¿Has encontrado una vulnerabilidad?
Escribe al equipo de seguridad del core de PrestaShop:
security-core@prestashop.com