关键漏洞信息 漏洞概述 CVE ID: CVE-2023-39647 发布日期: 2023-09-26 平台: PrestaShop 产品: tvcmscategoryproduct 受影响版本: <= 4.0.1 (4.0.2 修复了该漏洞) 产品作者: Theme Volty 弱点类型: CWE-89 严重性: critical (9.8) 漏洞描述 描述: 在 脚本中存在敏感的 SQL 调用，可以通过简单的 HTTP 调用来执行，可被利用进行 SQL 注入攻击。 CVSS 基本指标 攻击向量: 网络 攻击复杂性: 低 所需权限: 无 用户交互: 无 范围: 不变 机密性: 高 完整性: 高 可用性: 高 向量字符串: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 可能的恶意用途 获取管理员权限 删除 PrestaShop 相关数据 复制/粘贴敏感表中的数据到前台以暴露令牌和解锁管理员的 AJAX 脚本 重写 SMTP 设置以劫持电子邮件 补丁从 4.0.1 到 4.0.2 代码补丁显示对 SQL 参数进行了适当类型转换，以防止 SQL 注入 其他建议 升级到最新版本的模块 禁用多重查询执行 确保所有相关函数正确实现和一致使用 更改默认数据库前缀 激活 OWASP 942 规则 时间线 2023-02-10: 问题在代码审查中被发现 2023-05-19: 作者提供补丁 2023-09-26: 发布此安全通告