⚠️ Alerta crítica en PrestaShop: toman el control de tu tienda desde el formulario de contacto

Estas dos ramas reciben un parche idéntico. La causa raíz de la vulnerabilidad es el uso de un regex con el ancla $ sin el modificador D. En PHP, $ sin /D acepta un salto de línea opcional al final de la cadena, por lo que un email como Esta dirección de correo electrónico está siendo protegida contra los robots de spam. Necesita tener JavaScript habilitado para poder verlo.\n superaba la validación. Esto permite email header injection: un atacante puede inyectar cabeceras SMTP adicionales (Bcc:, Subject:…) en cualquier correo transaccional que la tienda envíe usando ese campo.

El parche sustituye el regex por tres comprobaciones encadenadas:

// ANTES (código vulnerable)
public static function isEmail($email)
{
    return preg_match('/^[a-z0-9!#$%&\'*+\/=?^`{}|~.-]+@[a-z0-9.-]+$/i', $email);
    //                                                                   ↑ acepta \n al final
}

// DESPUÉS (Validate-1_7.php parcheado)
public static function isEmail($email)
{
    if (empty($email)) {
        return false;
    }

    // RFC 5321: máximo 254 caracteres por dirección
    if (strlen($email) > 254) {
        return false;
    }

    // Bloquea explícitamente CR, LF y TAB que permiten inyectar cabeceras
    if (preg_match('/[\r\n\t]/', $email)) {
        return false;
    }

    // Doble validación: PHP built-in + gramática RFC de SwiftMailer
    return filter_var($email, FILTER_VALIDATE_EMAIL) !== false
        && Swift_Validate::email($email);
}
  

Los dos validadores finales se aplican en serie: filter_var rechaza formatos claramente inválidos con coste mínimo, y Swift_Validate::email() aplica el análisis gramatical completo del RFC 5321 antes de que SwiftMailer use la dirección para construir la cabecera To:.

Dependencia requerida: swiftmailer/swiftmailer, que ya forma parte del núcleo de PrestaShop 1.7.

En la rama 1.7.8, PrestaShop ya incorpora Symfony y la librería egulias/email-validator. El parche aprovecha estos componentes para sustituir la doble validación anterior por una triple capa más expresiva, aunque sin activar aún el modo estricto de Symfony.

// DESPUÉS (Validate-1_7_8.php parcheado)
public static function isEmail($email)
{
    if (empty($email)) {
        return false;
    }

    // Capa 1: Symfony Email constraint (modo laxo)
    $validator = Validation::createValidator();
    $errors = $validator->validate($email, new Email());

    if (count($errors) > 0) {
        return false;
    }

    // Capas 2 y 3: RFC 5322 + compatibilidad con SwiftMailer
    return !empty($email) && (new EmailValidator())->isValid($email, new MultipleValidationWithAnd([
        new RFCValidation(),
        new SwiftMailerValidation(),
    ]));
}
  

Las tres capas tienen responsabilidades distintas:

• Symfony Email constraint: primera barrera rápida con las reglas del framework.
• RFCValidation: cumplimiento del RFC 5321/5322 mediante el parser de egulias/email-validator; detecta formatos válidos sintácticamente pero problemáticos en producción.
• SwiftMailerValidation: garantiza que la dirección puede usarse sin riesgo de inyección dentro del motor de envío.

Dependencias requeridas: egulias/email-validator ^2.0 y symfony/validator, ambas ya en el composer.json de 1.7.8.

Misma estructura que 1.7.8, pero con un cambio importante: se activa el modo estricto del validador de Symfony, que aplica la gramática RFC 5322 completa en lugar del subconjunto habitual. Esto rechaza variantes como direcciones con comentarios (user(comment)@example.com) o con literales IP (user@[192.0.2.1]) que son sintácticamente válidas según el RFC pero inapropiadas en un contexto de e-commerce.

También se elimina la comprobación redundante !empty($email) en el return, ya que la guardia al inicio del método la hace innecesaria.

// DESPUÉS (Validate-8_1.php parcheado)
public static function isEmail($email)
{
    if (empty($email)) {
        return false;
    }

    $validator = Validation::createValidator();
    $errors = $validator->validate($email, new Email([
        'mode' => 'strict',   // ← nuevo respecto a 1.7.8
    ]));

    if (count($errors) > 0) {
        return false;
    }

    // Check if the value is correct according to both validators (RFC & SwiftMailer)
    return (new EmailValidator())->isValid($email, new MultipleValidationWithAnd([
        new RFCValidation(),
        new SwiftMailerValidation(),
    ]));
}
  

Dependencias requeridas: egulias/email-validator ^3.0 (la rama 8.x subió la versión mayor respecto a 1.7.8) y symfony/validator ^5.4.

Si tu tienda corre 8.2.5 o PrestaShop 9.1.0, basta con que actualices a la última versión disponible de tu rama (8.2.6 y 9.1.1 respectivamente) para mantener tu tienda segura.