Control de acceso incorrecto en PrestaShop

Se ha coor­di­na­do la pu­bli­ca­ción de una vul­ne­ra­bi­li­dad de se­ve­ri­dad media que afec­ta a Pres­taShop, una pla­ta­for­ma de có­di­go abier­to des­ti­na­da a la crea­ción de tien­das vir­tua­les de co­mer­cio elec­tró­ni­co. El ha­llaz­go de este fallo de se­gu­ri­dad fue rea­li­za­do por Pedro Ga­bal­dón Juliá y com­pro­me­te a las ver­sio­nes del sis­te­ma an­te­rio­res a la 9.1.5 y a la 8.2.8, de­pen­dien­do de la rama co­rres­pon­dien­te.

El pro­ble­ma iden­ti­fi­ca­do ha re­ci­bi­do el có­di­go CVE-2026-84186, con una pun­tua­ción base CVSS v4.0 de 6.9 y cla­si­fi­ca­do bajo el tipo de vul­ne­ra­bi­li­dad CWE-290 de­bi­do a un con­trol de ac­ce­so in­co­rrec­to. Es­pe­cí­fi­ca­men­te, la falla se lo­ca­li­za en la fun­ción Tools::ge­tRe­mo­teAddr(), la cual pro­ce­sa erró­nea­men­te la ca­de­na de di­rec­cio­nes IP y po­si­bi­li­ta que un ata­can­te re­mo­to no au­ten­ti­ca­do fal­si­fi­que la IP del clien­te me­dian­te el uso del en­ca­be­za­do X-For­war­ded-For cuan­do el soft­wa­re opera de­trás de un proxy in­ver­so, ba­lan­cea­dor de carga o red de dis­tri­bu­ción de con­te­ni­dos (CDN).

Como con­se­cuen­cia de este fallo, un agre­sor puede lo­grar que la pla­ta­for­ma in­ter­pre­te su co­ne­xión como si pro­vi­nie­ra de una di­rec­ción IP ar­bi­tra­ria, lo que fa­ci­li­ta sor­tear res­tric­cio­nes ba­sa­das en IP como las lis­tas de per­mi­ti­dos en el modo de man­te­ni­mien­to. Asi­mis­mo, esto hace po­si­ble al­te­rar los re­gis­tros de au­di­to­ría y se­gu­ri­dad, ade­más de eva­dir he­rra­mien­tas de ter­ce­ros que con­fíen en la di­rec­ción IP para ta­reas como geo­lo­ca­li­za­ción, li­mi­ta­ción de pe­ti­cio­nes o de­tec­ción de frau­de.

Para sol­ven­tar esta si­tua­ción, el equi­po res­pon­sa­ble de Pres­taShop ha li­be­ra­do co­rrec­cio­nes in­te­gra­das en las ver­sio­nes 9.1.5 y 8.2.8 del sis­te­ma.