Vulnerabilidad en PrestaShop (CVE-2024-34716)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

14/05/2024

Última modificación:

21/01/2025

Descripción

PrestaShop es una aplicación web de comercio electrónico de código abierto. Una vulnerabilidad de Cross Site Scripting (XSS) que solo afecta a PrestaShops con el indicador de función de hilo de cliente habilitado está presente a partir de PrestaShop 8.1.0 y antes de PrestaShop 8.1.6. Cuando el indicador de función del hilo del cliente está habilitado a través del formulario de contacto del front-office, un pirata informático puede cargar un archivo malicioso que contenga un XSS que se ejecutará cuando un administrador abra el archivo adjunto en el back-office. El script inyectado puede acceder a la sesión y al token de seguridad, lo que le permite realizar cualquier acción autenticada en el ámbito del derecho de administrador. Esta vulnerabilidad está parcheada en 8.1.6. Una workaround es desactivar el indicador de función del hilo del cliente.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.60 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

9.60

Gravedad 3.x

CRÍTICA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:prestashop:prestashop::::::::	8.1.0 (incluyendo)	8.1.6 (excluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en PrestaShop (CVE-2024-34716)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información