CVE-2024-34716

Resumen

PrestaShop es una aplicación web de comercio electrónico de código abierto. Una vulnerabilidad de Cross Site Scripting (XSS) que solo afecta a PrestaShops con el indicador de función de hilo de cliente habilitado está presente a partir de PrestaShop 8.1.0 y antes de PrestaShop 8.1.6. Cuando el indicador de función del hilo del cliente está habilitado a través del formulario de contacto del front-office, un pirata informático puede cargar un archivo malicioso que contenga un XSS que se ejecutará cuando un administrador abra el archivo adjunto en el back-office. El script inyectado puede acceder a la sesión y al token de seguridad, lo que le permite realizar cualquier acción autenticada en el ámbito del derecho de administrador. Esta vulnerabilidad está parcheada en 8.1.6. Una workaround es desactivar el indicador de función del hilo del cliente.

• CVE-2024-34716Exploit

  Explotación de prueba de concepto para CVE-2024-34716, una cadena de XSS a RCE impulsada por PNG en PrestaShop 8.1.5, que permite la ejecución remota de código mediante cargas de imágenes manipuladas.

• Prestashop-CVE-2024-34716Exploit

  Automatiza un ataque CSRF contra CVE-2024-34716 para desplegar una reverse shell en PHP en PrestaShop, con empaquetado automatizado del payload y configuración del listener de Netcat.