Potential XSS injection In PrestaShop contactform

緊急 9.3CVE-2020-15178 · GHSA-95hx-62rh-gg96 · 15/09/2020 公開 · 17/06/2026 更新

要点

CVE-2020-15178 は prestashop/contactform, contactform (prestashop) に影響する深刻度「緊急」 (CVSS 9.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 68.8% より高い）。
対処：4.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
prestashop/contactform Packagist	`≥ 1.0.1, < 4.3.0`	`4.3.0`
contactform prestashop	`< 4.3.0`	`4.3.0`

概要

Impact

An attacker is able to inject javascript while using the contact form.

Patches

The problem is fixed in v4.3.0

References

Cross-site Scripting (XSS) - Stored (CWE-79)

NVD の説明

In PrestaShop contactform module (prestashop/contactform) before version 4.3.0, an attacker is able to inject JavaScript while using the contact form. The `message` field was incorrectly unescaped, possibly allowing attackers to execute arbitrary JavaScript in a victim's browser.