Plateforme
php
Composant
prestashop
Corrigé dans
8.1.8
La vulnérabilité CVE-2025-1230 affecte Picklescan, une bibliothèque d'analyse de sécurité, en raison d'une utilisation non sécurisée de la fonction _operator.methodcaller lors du traitement de fichiers pickle. Cette faille permet à un attaquant d'exécuter du code à distance sur le système de la victime en exploitant la désérialisation de données malveillantes. Les versions concernées sont celles inférieures ou égales à 0.0.9, et une correction est disponible dans la version 0.0.34.
La CVE-2025-1230 expose Prestashop 8.1.7 à une vulnérabilité de Cross-Site Scripting (XSS) stocké. Cette faille découle d'une validation insuffisante des entrées utilisateur via le paramètre 'link' dans le chemin '/<admin_directory>/index.php'. Un attaquant pourrait exploiter cela en envoyant une requête spécialement conçue à un utilisateur authentifié, lui permettant de voler les détails de la session de cookie de l'utilisateur. L'impact est significatif, car le vol de cookies peut accorder un accès non autorisé au compte d'administration Prestashop, permettant à l'attaquant d'effectuer des actions malveillantes telles que la modification de données, des transactions frauduleuses ou même le contrôle total de la boutique en ligne. La gravité de la vulnérabilité est notée 4.8 sur l'échelle CVSS, ce qui indique un risque modéré à élevé.
La vulnérabilité est exploitée par la manipulation du paramètre 'link' dans l'URL d'accès à l'administration Prestashop. Un attaquant pourrait injecter du code JavaScript malveillant dans ce paramètre, qui s'exécutera dans le navigateur de l'utilisateur authentifié lorsque celui-ci accède à la page. Le code malveillant volera le cookie de session de l'utilisateur et l'enverra au serveur de l'attaquant. Cette attaque nécessite que l'attaquant soit capable d'envoyer une URL malveillante à un utilisateur authentifié, ce qui peut être réalisé par phishing, ingénierie sociale ou en injectant du code dans d'autres parties du site Web. L'authentification préalable de l'utilisateur est un prérequis à l'exploitation réussie de cette vulnérabilité.
Prestashop installations running version 8.1.7 are directly at risk. Shared hosting environments utilizing Prestashop are particularly vulnerable, as attackers may be able to exploit the vulnerability through other tenants on the same server. Administrators relying on default Prestashop configurations and lacking robust input validation practices are also at increased risk.
• php / web:
curl -I 'https://your-prestashop-site.com/admin_directory/index.php?link=<script>alert(1)</script>' | grep HTTP/1.1• php / web: Examine Prestashop access logs for requests to /admin_directory/index.php containing suspicious characters or script tags in the 'link' parameter.
• generic web: Use a vulnerability scanner to check for XSS vulnerabilities in the 'link' parameter of /admin_directory/index.php.
disclosure
Statut de l'Exploit
EPSS
0.07% (percentile 22%)
CISA SSVC
Vecteur CVSS
La solution principale pour atténuer la CVE-2025-1230 est de mettre à jour Prestashop vers la version 8.1.8 ou supérieure. Cette mise à jour intègre les correctifs nécessaires pour valider correctement les entrées utilisateur et empêcher l'exécution de scripts malveillants. Entre-temps, il est recommandé de mettre en œuvre des mesures de sécurité supplémentaires telles qu'un pare-feu d'application web (WAF) capable de détecter et de bloquer les tentatives d'exploitation de XSS. De plus, il est crucial de revoir et de renforcer les politiques de mots de passe, d'activer l'authentification à deux facteurs (2FA) pour tous les utilisateurs, en particulier les administrateurs, et de surveiller régulièrement les journaux du serveur à la recherche d'activités suspectes. L'application rapide de ces mesures contribuera à réduire considérablement le risque d'exploitation.
Actualice Prestashop a una versión posterior a la 8.1.7 para corregir la vulnerabilidad XSS. Esto evitará que usuarios no autorizados ejecuten scripts maliciosos en el contexto de otros usuarios autenticados. Consulte el sitio web oficial de Prestashop para obtener instrucciones detalladas sobre cómo realizar la actualización.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Le XSS stocké se produit lorsqu'un attaquant injecte du code malveillant dans un site Web, qui est ensuite exécuté dans le navigateur d'autres utilisateurs visitant la page.
Si vous utilisez Prestashop 8.1.7 ou une version antérieure, votre boutique est vulnérable. Mettez à jour vers la version 8.1.8 ou supérieure pour corriger la vulnérabilité.
Un pare-feu d'application Web (WAF) est un outil de sécurité qui filtre le trafic HTTP et bloque les attaques Web, y compris le XSS.
La mise à jour est la solution principale, mais la mise en œuvre de mesures de sécurité supplémentaires, telles que 2FA, est fortement recommandée.
Modifiez immédiatement les mots de passe de tous les utilisateurs, examinez les journaux du serveur à la recherche d'activités suspectes et envisagez de réaliser un audit de sécurité complet.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.