Vulnerabilidad en PrestaShop (CVE-2024-21627)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
02/01/2024
Última modificación:
08/01/2024
Descripción
PrestaShop es una plataforma de comercio electrónico de código abierto. Antes de las versiones 8.1.3 y 1.7.8.11, el método `isCleanHTML` no detecta algunos atributos de eventos. Algunos módulos que utilizan el método `isCleanHTML` podrían ser vulnerables a cross site scripting. Las versiones 8.1.3 y 1.7.8.11 contienen un parche para este problema. La mejor solución es utilizar la librería `HTMLPurifier` para sanitizar la entrada HTML proveniente de los usuarios. La librería ya está disponible como dependencia en el proyecto PrestaShop. Sin embargo, tenga en cuenta que en los modelos de objetos heredados, los campos de tipo `HTML` llamarán `isCleanHTML`.
Impacto
Puntuación base 3.x
6.10
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:prestashop:prestashop:*:*:*:*:*:*:*:* | 1.7.8.11 (excluyendo) | |
| cpe:2.3:a:prestashop:prestashop:*:*:*:*:*:*:*:* | 8.0.0 (incluyendo) | 8.1.3 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página