PrestaShop vulnerable a XSS a través del formulario de contacto del cliente en FO, mediante la subida de archivos

La explotación exitosa de esta vulnerabilidad XSS permite a un atacante ejecutar scripts arbitrarios en el contexto del usuario administrador. Esto puede resultar en el robo de cookies de sesión, la suplantación de identidad del administrador, la modificación de datos sensibles (como precios de productos, información de clientes, o contenido del sitio web), y la ejecución de acciones no autorizadas en nombre del administrador. Un atacante podría, por ejemplo, redirigir a los usuarios a sitios web maliciosos, mostrar ventanas emergentes falsas, o incluso tomar el control completo del sitio web PrestaShop. La severidad crítica de esta vulnerabilidad se debe a la facilidad de explotación y el alto impacto potencial en la confidencialidad, integridad y disponibilidad del sitio web y sus datos.

PrestaShop installations running versions 8.1.0 through 8.1.5 are at direct risk. Specifically, those deployments that have enabled the customer-thread feature flag through the front-office contact form are the most vulnerable. Shared hosting environments running PrestaShop are also at increased risk due to the potential for cross-tenant contamination.

• php: Examine PrestaShop installation logs for suspicious file uploads via the contact form. Look for unusual file extensions or filenames that might indicate malicious code.

 grep -i 'contact form upload' /var/log/prestashop/error.log

• generic web: Monitor access logs for requests to the contact form endpoint with unusual file uploads. Check response headers for signs of XSS payloads.

curl -I https://example.com/contact_form.php?attachment=malicious.php

• wordpress / composer / npm: (Not applicable - PrestaShop is PHP-based, not WordPress/Composer/npm) • database (mysql, redis, mongodb, postgresql): (Not applicable - vulnerability is not database-specific) • windows / supply-chain: (Not applicable - PrestaShop is not a Windows application) • linux / server: Monitor system processes for unusual PHP scripts being executed, particularly those related to file handling or session management. Use ps aux | grep php to identify running PHP processes.

1. 2024-05-14Disclosure

   disclosure

2. 2024-05-14Patch

   patch

1. Reservado2024-05-07
2. Publicada2024-05-14
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar PrestaShop a la versión 8.1.6, que incluye la corrección de seguridad. Si la actualización inmediata no es posible, deshabilitar temporalmente la función de hilo de cliente en el formulario de contacto del front-office puede reducir el riesgo. Implementar una Web Application Firewall (WAF) con reglas para detectar y bloquear intentos de inyección de scripts puede proporcionar una capa adicional de protección. Monitorear los registros del servidor en busca de patrones sospechosos, como solicitudes con caracteres inusuales en los parámetros de la URL, también puede ayudar a identificar posibles ataques. Después de la actualización, verificar que la función de hilo de cliente se comporte como se espera y que no haya scripts maliciosos inyectados en el sitio web.