PT-2021-20205 · Shopizer · Shopizer

Marek Toth · Publicado 2021-05-24 · Atualizado 2021-06-08 · CVE-2021-33562

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Shopizer anteriores à 2.17.0

Descrição

Uma vulnerabilidade de cross-site scripting (XSS) refletido permite que invasores remotos injetem scripts da Web ou HTML arbitrários por meio do parâmetro ref em uma página sobre um produto qualquer, por exemplo, uma URL do tipo “product/insert-product-name-here.html/ref=”. Isso permite que invasores executem scripts maliciosos no lado do cliente.

Recomendações

Para versões anteriores à 2.17.0, atualize para a versão 2.17.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao parâmetro ref na URL afetada para minimizar o risco de exploração.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2021-33562

GHSA-378P-HRQ3-X4P3

Produtos afetados

Shopizer

Referências · 8

• 🔥 https://exploit-db.com/exploits/49901 · Exploit
• https://github.com/shopizer-ecommerce/shopizer/commit/197f8c78c8f673b957e41ca2c823afc654c19271 · Correção
• https://github.com/shopizer-ecommerce/shopizer/compare/2.16.0...2.17.0 · Correção
• https://t.me/cvenotify/15157 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-33562 · Aviso do Fabricante
• https://t.me/cvenotify/14970 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-33562 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-378p-hrq3-x4p3 · Aviso do Fabricante