Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en Jms Setting de Joommasters para PrestaShop (CVE-2023-50030)

Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
19/01/2024
Última modificación:
25/01/2024

Descripción

En el módulo "Jms Setting" (jmssetting) de Joommasters para PrestaShop, un invitado puede realizar inyección SQL en versiones <= 1.1.0. El método `JmsSetting::getSecondImgs()` tiene una llamada SQL sensible que puede ejecutarse con una llamada http trivial y explotarse para falsificar una inyección SQL ciega.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:joommasters:jmssetting:*:*:*:*:*:prestashop:*:* 1.1.0 (incluyendo)