PT-2024-26130 · Unknown · Prestashop

Aelmokhtar · Publicado 2024-05-14 · Atualizado 2025-02-20 · CVE-2024-34716

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Versões do PrestaShop 8.1.0 a 8.1.5

Descrição

Existe uma vulnerabilidade de cross-site scripting (XSS) no PrestaShop quando o sinalizador da funcionalidade “customer-thread” está ativado. Isso permite que um hacker envie um arquivo malicioso contendo um XSS que será executado quando um administrador abrir o arquivo anexado no back office. O script injetado pode acessar a sessão e o token de segurança, permitindo-lhe realizar qualquer ação autenticada dentro dos direitos do administrador. Mais de 300.000 resultados foram identificados como potencialmente afetados.

Recomendações

Para as versões 8.1.0 a 8.1.5 do PrestaShop, atualize para a versão 8.1.6 para resolver o problema.

Como solução temporária, considere desativar o sinalizador de recurso “customer-thread” até que um patch seja aplicado.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

BDU:2025-01960

BIT-PRESTASHOP-2024-34716

CVE-2024-34716

GHSA-45VM-3J38-7P78

Produtos afetados

Prestashop

Referências · 26

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/34xxx/CVE-2024-34716.json · Exploit
• 🔥 https://github.com/aelmokhtar/CVE-2024-34716 · Exploit
• https://github.com/PrestaShop/PrestaShop · Nota
• https://github.com/PrestaShop/PrestaShop/releases/tag/8.1.6 · Nota
• https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-45vm-3j38-7p78 · Aviso do Fabricante
• https://github.com/PrestaShop/PrestaShop/commit/a248898655e56cbcc6c308a5f1c8752231624bae · Nota
• https://twitter.com/fofabot/status/1791290395542048988 · Publicação no Twitter
• https://twitter.com/David_Uton/status/1885712275488535016 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/1791286901514920179 · Publicação no Twitter
• https://t.me/cybersecuritytechnologies/11776 · Publicação no Telegram
• https://twitter.com/elhackernet/status/1791413350523338870 · Publicação no Twitter
• https://t.me/pentestingnews/47067 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-34716 · Nota de Segurança
• https://twitter.com/_kujen5/status/1885763317244817814 · Publicação no Twitter
• https://twitter.com/ksg93rd/status/1892586291386110369 · Publicação no Twitter