Уязвимость, связанная с неправильным контролем доступа в функции Tools::getRemoteAddr() в PrestaShop, которая позволяет подделать IP-адрес клиента через заголовок X-Forwarded-For, когда приложение работает за обратным прокси-сервером, балансировщиком нагрузки или CDN. Приложение неправильно обрабатывает строку IP-адреса и использует адрес, контролируемый посетителем, а не адрес, предоставленный доверенной инфраструктурой, что позволяет неаутентифицированному удаленному злоумышленнику заставить приложение интерпретировать его соединение как исходящее с произвольного IP-адреса. Это условие позволяет обходить элементы управления на основе IP, такие как список разрешенных режимов обслуживания, а также позволяет подделывать журналы безопасности и аудита, а также обходить сторонние механизмы, которые полагаются на IP-адрес, такие как проверки геолокации, обнаружение мошенничества или регулирование запросов.
Показать оригинальное описание (EN)
Vulnerability involving incorrect access control in the Tools::getRemoteAddr() function in PrestaShop, which allows the client’s IP address to be spoofed via the X-Forwarded-For header when the application is running behind a reverse proxy, load balancer or CDN. The application incorrectly processes the IP address string and uses the address controlled by the visitor rather than the one provided by the trusted infrastructure, allowing an unauthenticated remote attacker to cause the application to interpret their connection as originating from an arbitrary IP address. This condition allows IP-based controls, such as the maintenance mode allowlist, to be bypassed, as well as enabling the forgery of security and audit logs and the evasion of third-party mechanisms that rely on the IP address, such as geolocation checks, fraud detection or request throttling.
Характеристики атаки
Последствия
Строка CVSS v4.0