CVE-2023-30838 in PrestaShop
Tóm tắt
Bởi VulDB • 28/06/2026
PrestaShop là một ứng dụng web thương mại điện tử mã nguồn mở. Trước các phiên bản 8.0.4 và 1.7.8.9, phương thức `ValidateCore::isCleanHTML()` của PrestaShop thiếu khả năng xử lý các sự kiện có thể bị chiếm đoạt (hijackable), dẫn đến lỗ hổng chèn mã Cross-Site Scripting (XSS). Lỗ hổng này được cho phép do sự hiện diện của các phương thức `@keyframes` đã được thiết lập trước. Cuộc tấn công XSS, vốn chiếm đoạt các thuộc tính HTML, có thể kích hoạt mà không cần bất kỳ tương tác nào từ người dùng cuối/quản trị viên, khiến nó nguy hiểm ngang với một cuộc tấn công XSS đơn giản. Khác với các cuộc tấn công khác nhắm vào các thuộc tính HTML và được kích hoạt mà không cần sự tương tác của người dùng (chẳng hạn như onload/onerror vốn có phạm vi ảnh hưởng rất hạn chế), lỗ hổng này có thể chiếm đoạt mọi phần tử HTML, làm tăng mức độ nguy hiểm do phạm vi bao phủ toàn bộ các phần tử HTML. Các phiên bản 8.0.4 và 1.7.8.9 chứa bản sửa lỗi cho vấn đề này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.