从该网页截图中，我们可以提取以下关于漏洞的关键信息： CVE ID: CVE-2023-34575 Published Date: 2023-09-19 Platform: PrestaShop Product: Opart Save Cart (opartsavecart) Impacted Release: <= 2.0.7 Product Author: Opart Weakness: CWE-89 (SQL Injection) Severity: Critical (9.8) Description 在PrestaShop的“Opart Save Cart”模块中，版本<=2.0.7下， 和 方法中存在敏感的SQL调用，可以通过简单的HTTP请求触发并用于进行SQL注入攻击。此漏洞利用了PrestaShop前端控制器，攻击者可以在攻击过程中隐藏模块控制器的路径，因此传统的前端日志中只会显示“POST /”，无法记录完整攻击路径。仅有通过激活 或类似安全模块才能检测并确认这种攻击。 Possible Malicious Use 获取管理员权限 删除PrestaShop关联的数据 从敏感表中复制/粘贴数据到前台，以泄露令牌并解锁管理员的AJAX脚本 重写SMTP设置以劫持邮件 Patch from 2.0.7 在进行SQL查询时，对输入参数进行了类型转换，例如使用 和 确保参数安全。 Other Recommendations 1. 建议升级到最新版的 模块。 2. 为改进PrestaShop安装的安全性，强烈建议升级至最新版本，这将禁用使用多查询执行的 PrestaShop 安装（由分号分隔）。不过，这将无法保护您的店铺免受利用SQL注入攻击中UNION子句的数据窃取攻击。同时，PrestaShop包含的pSQL函数，内含strip_tags功能，这有助于保护您的店铺免受Stored XSS（也称为XSS T2）类别1攻击若您的项目中缺失pSQL函数，则可能因边缘情况而面临 Stored XSS漏洞的威胁，因此确保所有相关功能在项目中正确实施并被一致使用至关重要。 3. 更改默认数据库前缀 为更长、更随机的前缀，以抵御无高级数据库管理技能的黑客。但仍需注意，因其设计漏洞，在数据库管理系统的攻击下可能无效。 4. 在WAF（Web应用防火墙）上激活OWASP 942规则，但需注意，这可能破坏您的后台，并需预设针对此规则集的绕过措施。 Timeline