CVE-2024-21627

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2024-21627
PrestaShop is an open-source e-commerce platform. Prior to versions 8.1.3 and 1.7.8.11, some event attributes are not detected by the `isCleanHTML` method. Some modules using the `isCleanHTML` method could be vulnerable to cross-site scripting. Versions 8.1.3 and 1.7.8.11 contain a patch for this issue. The best workaround is to use the `HTMLPurifier` library to sanitize html input coming from users. The library is already available as a dependency in the PrestaShop project. Beware though that in legacy object models, fields of `HTML` type will call `isCleanHTML`.

8.1 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 1.7 / Impact : 5.8

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required HIGH

User Interaction REQUIRED

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact NONE

Scope CHANGED

References
Link Resource
https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 Patch
https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 Patch
https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq Vendor Advisory
https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 Patch
https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 Patch
https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq Vendor Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:prestashop:prestashop:*:*:*:*:*:*:*:*
cpe:2.3:a:prestashop:prestashop:*:*:*:*:*:*:*:*
History

21 Nov 2024, 08:54

Type Values Removed Values Added
References () https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 - Patch () https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 - Patch
References () https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 - Patch () https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 - Patch
References () https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq - Vendor Advisory () https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq - Vendor Advisory
CVSS v2 : unknown
v3 : 6.1 		v2 : unknown
v3 : 8.1

08 Jan 2024, 19:23

Type Values Removed Values Added
References () https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 - () https://github.com/PrestaShop/PrestaShop/commit/73cfb44666818eefd501b526a894fe884dd12129 - Patch
References () https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 - () https://github.com/PrestaShop/PrestaShop/commit/ba06d18466df5b92cb841d504cc7210121104883 - Patch
References () https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq - () https://github.com/PrestaShop/PrestaShop/security/advisories/GHSA-xgpm-q3mq-46rq - Vendor Advisory
CVSS v2 : unknown
v3 : 8.1 		v2 : unknown
v3 : 6.1
Summary (es) PrestaShop es una plataforma de comercio electrónico de código abierto. Antes de las versiones 8.1.3 y 1.7.8.11, el método `isCleanHTML` no detecta algunos atributos de eventos. Algunos módulos que utilizan el método `isCleanHTML` podrían ser vulnerables a cross site scripting. Las versiones 8.1.3 y 1.7.8.11 contienen un parche para este problema. La mejor solución es utilizar la biblioteca `HTMLPurifier` para sanitizar la entrada HTML proveniente de los usuarios. La biblioteca ya está disponible como dependencia en el proyecto PrestaShop. Sin embargo, tenga en cuenta que en los modelos de objetos heredados, los campos de tipo `HTML` llamarán `isCleanHTML`. (es) PrestaShop es una plataforma de comercio electrónico de código abierto. Antes de las versiones 8.1.3 y 1.7.8.11, el método `isCleanHTML` no detecta algunos atributos de eventos. Algunos módulos que utilizan el método `isCleanHTML` podrían ser vulnerables a cross site scripting. Las versiones 8.1.3 y 1.7.8.11 contienen un parche para este problema. La mejor solución es utilizar la librería `HTMLPurifier` para sanitizar la entrada HTML proveniente de los usuarios. La librería ya está disponible como dependencia en el proyecto PrestaShop. Sin embargo, tenga en cuenta que en los modelos de objetos heredados, los campos de tipo `HTML` llamarán `isCleanHTML`.
CPE cpe:2.3:a:prestashop:prestashop:*:*:*:*:*:*:*:*
First Time Prestashop prestashop
Prestashop

03 Jan 2024, 13:48

Type Values Removed Values Added
Summary
  • (es) PrestaShop es una plataforma de comercio electrónico de código abierto. Antes de las versiones 8.1.3 y 1.7.8.11, el método `isCleanHTML` no detecta algunos atributos de eventos. Algunos módulos que utilizan el método `isCleanHTML` podrían ser vulnerables a cross site scripting. Las versiones 8.1.3 y 1.7.8.11 contienen un parche para este problema. La mejor solución es utilizar la biblioteca `HTMLPurifier` para sanitizar la entrada HTML proveniente de los usuarios. La biblioteca ya está disponible como dependencia en el proyecto PrestaShop. Sin embargo, tenga en cuenta que en los modelos de objetos heredados, los campos de tipo `HTML` llamarán `isCleanHTML`.

02 Jan 2024, 21:15

Type Values Removed Values Added
New CVE
Information

Published : 2024-01-02 21:15

Updated : 2024-11-21 08:54

NVD link : CVE-2024-21627

Mitre link : CVE-2024-21627

CVE.ORG link : CVE-2024-21627

JSON object : View

Products Affected

prestashop

  • prestashop
CWE
CWE-20

Improper Input Validation

CWE-79

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')