Recientemente hemos detectado algunos sitios desarrollados con Prestashop 1.4.7 y 1.4.8 que han mostrado síntomas de haber sido hackeados, ya que mostraban inyecciones de código en multitud de los archivos de la aplicación.

Hasta ahora nunca habíamos detectado en ninguno de nuestros clientes consecuencias de un ataque exitoso sobre una instalación de PrestaShop, lo cual demuestra una vez mas la robustez y seguridad de Prestashop. No obstante siempre hemos sido precavidos y siempre hemos promulgado que no existe el software 100% seguro y que era posible que llegara una situación como esta.

En este caso la vulnerabilidad detectada esta relacionada con ataques XSS o Cross Site Scripting. Para mas información a cerca de la sistemática de este tipo de ataques, por favor, visite este enlace.

En este vídeo pueden ver un ejemplo donde se intenta explotar este fallo de seguridad en una versión vulnerable de PrestaShop y en otra que no lo es:

En este ejemplo lo único que hemos realizado explotando la vulnerabilidad es mostrar un mensaje, pero en su lugar se puede ejecutar otro script que modifique archivos, que envíe spam, que busque contenido, etc… Como vemos es una situación delicada y potencialmente muy peligrosa.

Las versiones de Prestashop afectadas, al menos que se haya comprobado que están afectadas, son las versiones:

• 1.4.8.x
• 1.4.7.x

Aunque es muy probable que versiones anteriores también lo sean.

La manera de proteger nuestras tiendas de este problema es simple, ACTUALIZAR. Si es posible actualizar a versiones 1.5.x de PrestShop. Si por el motivo que sea no podemos actualizar a esta versión, como por ejemplo el uso de plantillas o módulos no compatibles, actualizar al menos a la 1.4.11 ya que, como hemos visto en el vídeo, es una versión no expuesta a este problema.

Si desea saber mas a cerca de este problema, por favor, visite los siguientes enlaces:

• http://webcoder.biz/research/vulnerabilities/Prestashop-1-4-x-XSS/
• https://www.htbridge.com/advisory/HTB23091