Protegerse de vulnerabilidades en PrestaShop

Desde los diferentes avisos sobre las vulnerabilidades en PrestaShop, multitud de empresas que empleaban esta plataforma han tomado conciencia de la importancia de su protección. 

Desde la seguridad del cliente (su información personal y financiera), hasta la integridad de la tienda y sus contenidos (precios, descripciones, redirección a sitios web maliciosos…), existe toda una serie de amenazas que las vulnerabilidades en PrestaShop pueden poner en marcha. 

En última instancia, un ataque exitoso por la falta de seguridad en Prestashop puede comprometer la accesibilidad del sitio (y por tanto, sus ventas), además de dañar la reputación de la marca.

Más allá de las vulnerabilidades de PrestaShop, lo cierto es que esta plataforma de comercio electrónico de código abierto se ha ganado su reputación ayudando a que algunas pequeñas y medianas empresas puedan crear y gestionar tiendas online. Lanzada en 2007, se calcula que a finales de 2023 había más de 200.000 plataformas de ecommerce que utilizaban PrestaShop. 

Con unos costos iniciales bajos, una alta escalabilidad y facilidad de uso, estas cifras reflejan muchos de los beneficios de emplear esta plataforma. 

No obstante, en abril de 2023 el INCIBE (Instituto Nacional de Ciberseguridad) avisaba de una serie de vulnerabilidades en PrestaShop que afectaban a la ciberseguridad de los sitios web creados con esta tecnología. Lo analizamos.

En qué consisten estas vulnerabilidades 

En primer lugar, es importante comprender que, según los últimos datos a la redacción de este texto, las vulnerabilidades en PrestaShop afectaban a las versiones de PrestaShop anteriores a la 8.0.4.

Así, se detectaron tres problemas principalmente: 

• Dos problemas de tipo inyección SQL, uno con gravedad crítica y otra alta. El SQL (Structured Query Language) es un lenguaje de programación utilizado para gestionar bases de datos. En este sentido, una vulnerabilidad de inyección ocurre cuando un atacante es capaz de insertar código SQL malicioso en las consultas que realiza una aplicación, de modo que es capaz de manipular o extraer información de la base de datos. El INCIBE avisaba además de que, en el caso de las vulnerabilidades de PrestaShop, los atacantes podían ser capaces de ejecutar código remoto, enviando e implementando instrucciones desde ubicaciones externas al servidor de PrestaShop.                                                                                                    
• Una vulnerabilidad de inyección XSS de gravedad alta. En este caso, la posible inyección de XSS (también conocida como Cross-Site Scripting) describe la posibilidad de que un atacante inserte scripts maliciosos (código) en una página web, dando acceso al atacante para robar información o realizar acciones no autorizadas o maliciosas. Por ejemplo, podría tener lugar el secuestro de elementos HTML, de modo que un atacante manipule el contenido visual y funcional de una página web.

Cómo solucionar este problema 

En vistas a protegerse de vulnerabilidades y mejorar la seguridad en Prestashop, el fabricante se apresuró a publicar un parche de seguridad, además de recomendar las actualizaciones a las versiones de 8.0.4 y 1.7.8.9.

En este mismo sentido informaba el INCIBE cuando animaba a los usuarios que utilicen PrestaShop a actualizar la tienda y todos sus módulos a la última versión. Así, la seguridad en Prestashop quedaba garantizada frente a las vulnerabilidades conocidas.

A su vez, se recomienda deshabilitar la función de almacenamiento caché de MySQL Smarty, pues se sospechaba que los atacantes estaban haciendo uso de ella.

¿Cómo saber si has sido atacado?

Una de las estrategias que los usuarios pueden emplear para saber si han sido atacados es revisar sus logs de acceso dentro del servidor, en busca de patrones de ataques relativos a las vulnerabilidades en PrestaShop.

No obstante, desde la propia plataforma recomendaban contactar con especialistas que realicen una auditoría completa al sitio.

¿Quieres protegerte frente a las vulnerabilidades en PrestaShop y otras amenazas cada vez más complejas en el entorno digital? En BeeDIGITAL ofrecemos nuestra solución 360 Ciberseguridad especialmente diseñada para pymes y autónomos. ¡Descúbrela!