Zaloguj się
Deutsch English Español Polski
Krytyczna

PrestaShop cross-site scripting via customer contact form in FO, through file upload

  • Ujawniono: 14.05.2024
  • Aktualizacja: 11.10.2026 10:22

Impact

Only PrestaShops with customer-thread feature flag enabled are impacted, starting from PrestaShop 8.1.0.

The impact is substantial, when the customer thread feature flag is enabled, through the front-office contact form, a hacker can upload a malicious file containing an XSS that will be executed when an admin opens the attached file in back office.

Consequence: the script injected can access the session and the security token, which allows it to perform any authenticated action in the scope of the administrator's right.

Patches

This vulnerability is patched in 8.1.6.

Workarounds

As long as you have not upgraded to 8.1.6, a simple workaround is to disable the customer-thread feature-flag.

Thank you to Ayoub AIT ELMOKHTAR, who discovered this vulnerability and share it with the PrestaShop team.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer prestashop/prestashop >= 8.1.0, < 8.1.6 8.1.6
PrestaShop (rdzeń) prestashop/prestashop >= 8.1.0, < 8.1.6 8.1.6

Odnośniki

Ocena CVSS 9.6/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
Słabość (CWE)
CWE-79
Platforma
Composer, PrestaShop
Paczka
prestashop/prestashop
Ujawniono
14.05.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-45vm-3j38-7p78 - CC BY 4.0

Historia podatności: prestashop/prestashop

Wszystkie opisane podatności tej paczki (PrestaShop (rdzeń)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum
Wszystkich wpisów
32
Pierwsza → ostatnia
01.2020 05.2026
Bez poprawki
9
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 6
  • Wysoka 8
  • Średnia 17
  • Niska 1

Ujawnienia w latach

Istotność:
  1. PrestaShop has a stored XSS executable in customer service view
    Krytyczna · 9.3 CVE-2026-44212 < 8.2.6, >= 9.0.0, < 9.1.1 8.2.6, 9.1.1
  2. PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables
    Wysoka · 7.6 CVE-2026-33673 >= 9.0.0-alpha.1, < 9.1.0, < 8.2.5 9.1.0, 8.2.5
  3. PrestaShop cross-site scripting via customer contact form in FO, through file upload ten wpis
    Krytyczna · 9.6 CVE-2024-34716 >= 8.1.0, < 8.1.6 8.1.6
  4. PrestaShop some attribute not escaped in Validate::isCleanHTML method
    Wysoka · 8.1 CVE-2024-21627 >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
  5. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.3 CVE-2023-39527 >= 8.0.0, < 8.0.5, < 1.7.8.10 brak poprawki
  6. [CVE-2023-39529][CVE-2023-39530] path traversal: file deletion in the backoffice
    Wysoka · 6.7 CVE-2023-39525 <= 8.1.0 brak poprawki
  7. Reading a file through path traversal & Remote Code Execution via unsafe deserialization
    Krytyczna · 9.1 CVE-2023-39528 <= 8.1.0 brak poprawki
  8. Chain: SQL Injection (CWE-89) and Eval Injection (CWE-95)
    Krytyczna · 9.8 CVE-2022-31181 >= 1.6.0.10, < 1.7.8.7 1.7.8.7
  9. PrestaShop PHP Object Injection
    Wysoka · 8.8 CVE-2018-20717 < 1.7.2.5 1.7.2.5
  10. SQL filter bypass leading to arbitrary write requests using SQL Manager [DEBATE RUNNING ABOUT SCORING FROM PS CORE]
    Wysoka · 8.8 CVE-2023-30839 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
  11. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.0 CVE-2023-30838 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
  12. Server Side Twig Template Injection
    Krytyczna · 9.0 CVE-2022-21686 >= 1.7.0.0, < 1.7.8.3 1.7.8.3
  13. SQL injection in prestashop/prestashop
    Wysoka · 7.5 CVE-2021-43789 >= 1.7.5.0, < 1.7.8.2 1.7.8.2
  14. PHUnit dependancy in PrestaShop and modules allow remote arbitrary PHP code execution
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2017-9841 < 1.7.6.0 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.