CVE-2023-30838

सारांश

PrestaShop एक ओपन सोर्स ई-कॉमर्स वेब एप्लिकेशन है। संस्करण 8.0.4 और 1.7.8.9 से पहले, Prestashop की `ValidateCore::isCleanHTML()` विधि अपहरण योग्य घटनाओं को अनदेखा कर देती है, जिससे क्रॉस-साइट स्क्रिप्टिंग (XSS) इंजेक्शन हो सकता है, जो पूर्व-सेटअप `@keyframes` विधियों की उपस्थिति से संभव होता है। यह XSS, जो HTML विशेषताओं का अपहरण करता है, आगंतुक/व्यवस्थापक द्वारा किसी भी इंटरैक्शन के बिना ट्रिगर किया जा सकता है, जो इसे एक सामान्य XSS हमले जितना खतरनाक बनाता है। अन्य हमलों के विपरीत, जो HTML विशेषताओं को लक्षित करते हैं और उपयोगकर्ता इंटरैक्शन के बिना ट्रिगर होते हैं (जैसे onload / onerror, जो बहुत सीमित दायरे से ग्रस्त हैं), यह हर HTML तत्व का अपहरण कर सकता है, जो पूर्ण HTML तत्वों के दायरे के कारण खतरे को बढ़ाता है। संस्करण 8.0.4 और 1.7.8.9 में इस समस्या का समाधान शामिल है।

• lblfixer_cve_2023_30839पैच

  PrestaShop <1.7.8.9 के लिए CVE-2023-30839 और CVE-2023-30545 का सुधार