PT-2024-18978 · Unknown · Prestashop

Antonio-R1 + 1 · Publicado 2024-01-02 · Atualizado 2024-03-06 · CVE-2024-21627

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do PrestaShop anteriores à 8.1.3

Versões do PrestaShop anteriores à 1.7.8.11

Descrição

O PrestaShop é uma plataforma de comércio eletrônico de código aberto. Alguns atributos de eventos não são detectados pelo método isCleanHTML, o que pode tornar alguns módulos que utilizam esse método vulneráveis a ataques de cross-site scripting.

Recomendações

Para versões anteriores à 8.1.3, atualize para a versão 8.1.3 para resolver o problema.

Para versões anteriores à 1.7.8.11, atualize para a versão 1.7.8.11 para resolver o problema.

Como solução temporária, considere usar a biblioteca HTMLPurifier para sanitizar entradas HTML provenientes de usuários, já que ela está disponível como dependência no projeto PrestaShop. Esteja ciente de que, em modelos de objeto legados, campos do tipo HTML chamarão isCleanHTML.

Exploit

Correção

RCE

XSS

Enumeração de Fraquezas

CWE-20

CWE-79

Identificadores relacionados

BIT-PRESTASHOP-2024-21627

CVE-2024-21627

GHSA-XGPM-Q3MQ-46RQ

Produtos afetados

Prestashop

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/21xxx/CVE-2024-21627.json · Exploit
• https://github.com/PrestaShop/PrestaShop · Nota
• https://github.com/PrestaShop/PrestaShop/commit/0ed1af8de500538490f88e9e794e2e8113fb8df7 · Nota
• https://github.com/PrestaShop/PrestaShop/commit/f799dcff564cd1b7ead932ffc3343b675107dbce · Nota
• https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq · Aviso do Fabricante
• https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 · Correção
• https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 · Correção
• https://t.me/cibsecurity/74204 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-21627 · Nota de Segurança
• https://twitter.com/CVEnew/status/1742295802960121997 · Publicação no Twitter
• https://osv.dev/vulnerability/BIT-prestashop-2024-21627 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xgpm-q3mq-46rq · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-21627 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1742332642601611601 · Publicação no Twitter