Potential XSS injection In PrestaShop contactform

NGHIÊM TRỌNG 9.3CVE-2020-15178 · GHSA-95hx-62rh-gg96 · Công bố 15/09/2020 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2020-15178 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.3) ảnh hưởng prestashop/contactform, contactform (prestashop).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.2%, cao hơn 68.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 4.3.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
prestashop/contactform Packagist	`≥ 1.0.1, < 4.3.0`	`4.3.0`
contactform prestashop	`< 4.3.0`	`4.3.0`

Mô tả

Impact

An attacker is able to inject javascript while using the contact form.

Patches

The problem is fixed in v4.3.0

References

Cross-site Scripting (XSS) - Stored (CWE-79)

Mô tả của NVD

In PrestaShop contactform module (prestashop/contactform) before version 4.3.0, an attacker is able to inject JavaScript while using the contact form. The `message` field was incorrectly unescaped, possibly allowing attackers to execute arbitrary JavaScript in a victim's browser.