PT-2020-14250 · Prestashop · Prestashop Contactform Module

Pierre Rambaud · Publicado 2020-09-15 · Atualizado 2020-09-21 · CVE-2020-15178

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do módulo de formulário de contato do PrestaShop anteriores à 4.3.0

Descrição

A vulnerabilidade permite que um invasor injete código JavaScript ao utilizar o formulário de contato, podendo executar código JavaScript arbitrário no navegador da vítima. Isso ocorre porque o campo message não tem sua codificação de escape corretamente removida.

Recomendações

Para versões do módulo contactform do PrestaShop anteriores à 4.3.0, atualize para a versão 4.3.0 para resolver o problema. Como solução temporária, considere restringir o uso do formulário de contato até que a atualização seja aplicada.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2020-15178

GHSA-95HX-62RH-GG96

Produtos afetados

Prestashop Contactform Module

Referências · 8

• https://github.com/PrestaShop/contactform/commit/ecd9f5d14920ec00885766a7cb41bcc5ed8bfa09 · Correção
• https://github.com/PrestaShop/contactform/commit/a1da814bea7e5750b858a2dbbc58ace80379f42f · Nota
• https://github.com/PrestaShop/contactform/security/advisories/GHSA-95hx-62rh-gg96 · Nota
• https://github.com/PrestaShop/contactform · Nota
• https://packagist.org/packages/prestashop/contactform · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-15178 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-95hx-62rh-gg96 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-15178 · Nota de Segurança