CVE-2023-39527

Moduł Google Merchant Center Feed (gmfeed) dla PrestaShop jest podatny na nieuwierzytelniony zapis dowolnych plików w punkcie końcowym feed.php. Nieuwierzytelniony atakujący może wysłać spreparowane żądanie, które kontroluje nazwę pliku, ścieżkę, rozszerzenie i zawartość poprzez parametry żądania. Z powodu braku uwierzytelnienia i walidacji wejścia, żądanie jest przetwarzane, umożliwiając atakującemu zapis i wykonanie dowolnego kodu PHP, co prowadzi do zdalnego wykonania kodu (RCE). Problem został naprawiony w wersji 2.3.9.

W module "Rotator Img" (posrotatorimg) dla PrestaShop w wersjach co najmniej do 1.1 od PosThemes, niezalogowany użytkownik może przeprowadzić atak SQL Injection.

PrestaShop to aplikacja e-commerce typu open source, która w wersjach przed 1.7.8.10, 8.0.5 i 8.1.1 jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie SQL oraz możliwość zapisu dowolnych plików w panelu administracyjnym.

Podatność w PrestaShop dotyczy nieprawidłowej kontroli dostępu w funkcji Tools::getRemoteAddr(), która pozwala na spoofowanie adresu IP klienta przez nagłówek X-Forwarded-For, gdy aplikacja działa za odwrotnym proxy, load balancerem lub CDN. Aplikacja nieprawidłowo przetwarza adres IP i używa adresu kontrolowanego przez odwiedzającego zamiast tego dostarczonego przez zaufaną infrastrukturę, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na podszywanie się pod dowolny adres IP.

Moduł PrestaShop totadministrativemandate w wersji poniżej 1.8.1 jest podatny na atak CSRF. Kontroler płatności nie posiada tokena CSRF, co umożliwia atakującemu potwierdzenie zamówienia w stanie oczekiwania poprzez przechwycenie linku.

W PrestaShop 8.2.1 wykryto podatność polegającą na nieprawidłowym oczyszczaniu danych wejściowych w parametrze 'Alias' funkcji 'Aktualizuj adres'. Atakujący może wstrzyknąć złośliwe wyrażenia, które są wykonywane podczas eksportu danych do CSV za pomocą narzędzia 'Pobierz moje dane w CSV'.

W PrestaShop w wersji 8.2.0 wykryto podatność na deserializację PHAR w funkcji _getHeaders. Umożliwia ona atakującemu wykonanie dowolnego kodu poprzez spreparowane żądanie POST.

W PrestaShop v8.2.0 w komponencie /themes/import występuje podatność na deserializację PHAR, która umożliwia zdalne wykonanie kodu poprzez spreparowane żądanie POST.

PrestaShop przed wersją 8.1.1 pozwala na usunięcie pliku z serwera za pomocą kontrolera załączników i API załączników. Wersja 8.1.1 zawiera poprawkę dla tego problemu.

PrestaShop przed wersją 8.1.1 zawierał metodę `displayAjaxEmailHTML`, która mogła być wykorzystana do odczytu dowolnego pliku na serwerze, w tym potencjalnie poza projektem, jeśli serwer nie był poprawnie skonfigurowany.