Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad de inyección SQL (SQLi) que afecta a Prestashop Redirections Manager, que permitiría a un atacante ver y modificar información de la base de datos back-end del sistema afectado.
La vulnerabilidad identificada como CVE-2023-26864, de severidad “Crítica”, con una puntuación asignada de 9.8. Esta vulnerabilidad de inyección SQL (SQLi) se debe a una falla de validación de entradas del usuario en el método SmplTools::getMatchingRedirectionsFromParts() del módulo Redirections Manager (smplredirectionsmanager) de Prestashop. Esto permitiría a un atacante remoto obtener acceso no autorizado a la base de datos back-end, robar y modificar información confidencial para escalar privilegios en el sistema afectado.
El producto afectado es:
- Prestashop Redirections Manager, versiones anteriores a 1.1.19.
Recomendamos instalar las actualizaciones correspondientes provistas por el fabricante en el siguiente enlace:
Adicionalmente, recomendamos tener en cuenta los siguientes pasos de mitigación:
- Cambiar el prefijo predeterminado de la base de datos a uno de mayor longitud, teniendo en cuenta que esto es inútil contra un atacante con el perfil de senior DBA debido a una vulnerabilidad de diseño en DBMSps_
- Activar reglas de OWASP 942 en el firewall de la aplicación web (WAF) teniendo en cuenta que probablemente el BackOffice se vea afectado y preconfigurar algunas excepciones para este conjunto de reglas.
Referencias:
- https://www.redpacketsecurity.com/prestashop-redirections-manager-sql-injection-cve-2023-26864/
- https://nvd.nist.gov/vuln/detail/CVE-2023-26864
- https://friends-of-presta.github.io/security-advisories/modules/2023/01/17/smplredirectionsmanager.html
- https://addons.prestashop.com/en/url-redirects/21428-redirections-manager-manage-301-302-and-404-urls.html