XSS 可以通过订单详细信息页面 (FO) 中的“添加消息表单”存储在数据库中 (CVE-2024-21628)
CVE编号
CVE-2024-21628利用情况
暂无补丁情况
N/A披露时间
2024-01-03漏洞描述
PrestaShop是一款开源电商平台。在8.1.3版本之前，该平台上的表单未使用isCleanHtml方法，导致可以将跨站脚本有效负载存储到数据库中。由于twig的转义机制，这在后台不会解释HTML，因此影响较低。在前台，跨站脚本攻击有效，但仅影响发送它的客户或发送它的客户会话。此问题影响那些从数据库获取这些消息并在显示时不进行HTML转义的模块。版本8.1.3包含了修复此问题的补丁。解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接 |
|
|---|---|
| https://github.com/PrestaShop/PrestaShop/commit/c3d78b7e49f5fe49a9d07725c3174... | |
| https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-vr7m-r9vm-m4wf |
- 攻击路径 网络
- 攻击复杂度 低
- 权限要求 低
- 影响范围 已更改
- 用户交互 需要
- 可用性 低
- 保密性 低
- 完整性 无
| CWE-ID | 漏洞类型 |
| CWE-79 | 在Web页面生成时对输入的转义处理不恰当（跨站脚本） |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论