DEBATE Vulnerabilidad CVE-2022-46639 en el módulo de Correos de PrestaShop 1.7.x

[jose]

Buenas a todos!!

Recientemente, se ha descubierto una vulnerabilidad crítica en el módulo de Correos de PrestaShop. La vulnerabilidad permite a los atacantes remotos leer archivos locales y atacar servidores de intranet.

El problema reside en el componente descarga_etiqueta.php en el módulo Correos-PrestaShop v1.2.0.0 para PrestaShop 1.7.x, que permite a los atacantes leer archivos locales a través de los parámetros "path" y "filename". Esto significa que los usuarios remotos pueden leer todos los archivos dentro y fuera de la raíz de documentos, lo que podría resultar en un compromiso de credenciales.

La causa raíz del problema es que el componente descarga_etiqueta.php utiliza la función PHP readfile sin sanitizar los parámetros.

Para resolver este problema, es necesario validar toda la entrada de usuario, bloquear todas las rutas fuera de la carpeta de PDF, y agregar un encabezado de autorización. Si tienes el módulo de "correosoficial" instalado en tu servidor, te recomendamos que lo elimines lo antes posible.

Es importante que siempre mantengas tus módulos y plataformas de comercio electrónico actualizados para evitar posibles vulnerabilidades y proteger tus datos y credenciales.

Gracias por leer, esperamos haberte sido de ayuda

Fuente:

Contenido sólo para usuarios registrados. Por favor inicia sesión o regístrate.

 

[Mitzuko]

Correos vende muy bien la moto a sus clientes de que sus módulos son la leche, y pueden imprimir directamente las etiquetas, y escoger la oficina de correos con el paq city... pero no dan más que problemas, ya con la 1.6 daban problemas cada poco si no era con una cosa, con otra, como por ejemplo dando incompatibilidad con un módulo tan conocido como el oficial de Mailchimp y sin decirte en ningún momento que estaba dando el problema, porque todo el culpa tuya menos de sus addons claro... y no hace ninguna cosa "tonta" en Prestashop, sino cosas como:

no poder registrarse.
no poder hacer pedidos como invitado.
no poder hacer pedidos como usuario registrado.
escoger una oficina con city paq y que se quede la web en blanco.
no poder finalizar el pedido cuando marcas check en recibir newsletter.
o vulnerabilidades como ahora.

Una empresa a evitar.

Por cierto su última versión para Woocommerce, enviada por email directamente porque daba errores todo el rato, ha petado porque es incompatible con el POS (tpv físico para tiendas que tienen woo con el pos) y encima han tardado en darle las claves a la cliente 7 MESES.

Me han llegado hilos de correos, de tal escribe a tal pidiendo las claves, que se las pide a otro, a otro, a otro... hasta que las mandan. Y total para que no funcione el módulo. VERGONZOSO.

PD: Para rematar quería cuenta con Correos Express y como las de la oficina de aquí no se empanan, se lo hicieron con Correos normal, que parece lo mismo pero NO. Es como el Sabadell que vas a pedir el TPV, y como ahora tienen el suyo propio para evitar Redsys, aunque en teoría tienen los 2 para poder implementar, no preguntan y le meten al cliente el suyo por la puta face... Spain is different.

Total para aguantar esto, te haces cuenta en Pack Link Pro y apañado y luego llevas los seguimientos con

Contenido sólo para usuarios registrados. Por favor inicia sesión o regístrate.

, que queda super pro para el cliente y es 100% FREE, y a rascarla.