Zaloguj się
Deutsch English Español Polski
Wysoka

PrestaShop some attribute not escaped in Validate::isCleanHTML method

  • Ujawniono: 03.01.2024
  • Aktualizacja: 11.10.2026 10:22

Description

Some event attributes are not detected by the isCleanHTML method

Impact

Some modules using the isCleanHTML method could be vulnerable to xss

Patches

8.1.3, 1.7.8.11

Workarounds

The best workaround is to use the HTMLPurifier library to sanitize html input coming from users. The library is already available as a dependency in the PrestaShop project. Beware though that in legacy object models, fields of HTML type will call isCleanHTML.

Reporters

Reported by Antonio Russo (@Antonio-R1 on GitHub) and Antonio Rocco Spataro (@antoniospataro on GitHub).

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer prestashop/prestashop >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
PrestaShop (rdzeń) prestashop/prestashop >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:H/I:H/A:N
Słabość (CWE)
CWE-20, CWE-79
Platforma
Composer, PrestaShop
Paczka
prestashop/prestashop
Ujawniono
03.01.2024
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-xgpm-q3mq-46rq - CC BY 4.0

Historia podatności: prestashop/prestashop

Wszystkie opisane podatności tej paczki (PrestaShop (rdzeń)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (32) w archiwum
Wszystkich wpisów
32
Pierwsza → ostatnia
01.2020 05.2026
Bez poprawki
9
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 6
  • Wysoka 8
  • Średnia 17
  • Niska 1

Ujawnienia w latach

Istotność:
  1. PrestaShop has a stored XSS executable in customer service view
    Krytyczna · 9.3 CVE-2026-44212 < 8.2.6, >= 9.0.0, < 9.1.1 8.2.6, 9.1.1
  2. PrestaShop has multiple stored XSS vulnerabilities via unprotected Template variables
    Wysoka · 7.6 CVE-2026-33673 >= 9.0.0-alpha.1, < 9.1.0, < 8.2.5 9.1.0, 8.2.5
  3. PrestaShop cross-site scripting via customer contact form in FO, through file upload
    Krytyczna · 9.6 CVE-2024-34716 >= 8.1.0, < 8.1.6 8.1.6
  4. PrestaShop some attribute not escaped in Validate::isCleanHTML method ten wpis
    Wysoka · 8.1 CVE-2024-21627 >= 8.0.0-beta.1, < 8.1.3, < 1.7.8.11 8.1.3, 1.7.8.11
  5. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.3 CVE-2023-39527 >= 8.0.0, < 8.0.5, < 1.7.8.10 brak poprawki
  6. [CVE-2023-39529][CVE-2023-39530] path traversal: file deletion in the backoffice
    Wysoka · 6.7 CVE-2023-39525 <= 8.1.0 brak poprawki
  7. Reading a file through path traversal & Remote Code Execution via unsafe deserialization
    Krytyczna · 9.1 CVE-2023-39528 <= 8.1.0 brak poprawki
  8. Chain: SQL Injection (CWE-89) and Eval Injection (CWE-95)
    Krytyczna · 9.8 CVE-2022-31181 >= 1.6.0.10, < 1.7.8.7 1.7.8.7
  9. PrestaShop PHP Object Injection
    Wysoka · 8.8 CVE-2018-20717 < 1.7.2.5 1.7.2.5
  10. SQL filter bypass leading to arbitrary write requests using SQL Manager [DEBATE RUNNING ABOUT SCORING FROM PS CORE]
    Wysoka · 8.8 CVE-2023-30839 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
  11. Possible XSS injection through Validate::isCleanHTML method
    Wysoka · 8.0 CVE-2023-30838 >= 8.0.0, < 8.0.3, < 1.7.8.8 brak poprawki
  12. Server Side Twig Template Injection
    Krytyczna · 9.0 CVE-2022-21686 >= 1.7.0.0, < 1.7.8.3 1.7.8.3
  13. SQL injection in prestashop/prestashop
    Wysoka · 7.5 CVE-2021-43789 >= 1.7.5.0, < 1.7.8.2 1.7.8.2
  14. PHUnit dependancy in PrestaShop and modules allow remote arbitrary PHP code execution
    Krytyczna · 9.8 Wykorzystywana w atakach CVE-2017-9841 < 1.7.6.0 brak poprawki

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.