المنتجات المتأثرة

• saleor/saleor

التفاصيل

سمح Saleor للمستخدمين الموظفين الموثّقين أو التطبيقات (Apps) برفع ملفات عشوائية، بما في ذلك ملفات HTML وSVG خبيثة تحتوي على Javascript. اعتمادًا على استراتيجية النشر، قد يتم تقديم هذه الملفات من نفس نطاق لوحة التحكم دون أي قيود، مما يؤدي إلى تنفيذ نصوص برمجية خبيثة في سياق متصفح المستخدم.

التأثير

يمكن للموظفين الخبيثين صياغة حقن نصوص برمجية لاستهداف موظفين آخرين، وربما سرقة رموز الوصول و/أو رموز التحديث الخاصة بهم.

هل أنا متأثر؟

أنت متأثر إذا:

• كنت تستضيف ملفات الوسائط داخل نفس نطاق لوحة التحكم، على سبيل المثال، لوحة التحكم على example.com/dashboard/ والوسائط تحت example.com/media/ - لست متأثرًا إذا كانت ملفات الوسائط مستضافة على نطاق مختلف، على سبيل المثال media.example.com.
• لم تقم بإرجاع ترويسة Content-Disposition: attachment لملفات الوسائط.

مستخدمو Saleor Cloud غير متأثرين.

الاكتشاف والتخفيف

تم إصلاح هذه المشكلة في الإصدارات: 3.22.27 و3.21.43 و3.20.108.

هام: إذا كنت تعتقد أنك متأثر، أو إذا كنت غير متأكد أو تريد التحقق، يجب عليك تشغيل الأمر التالي:

يقوم هذا بفحص جميع الملفات المرفوعة (في تخزين الوسائط، مثل نظام الملفات، أو حاوية S3، وما إلى ذلك). يجب أن تبحث عن ملفات غير متوقعة، وإذا لاحظت اختلافات، فإما:

• تغيير التكوين بحيث يسمح Saleor بالملف (انظر توثيق رفع الملفات)
• حذف الملف يدويًا أو تلقائيًا (./manage.py remove_invalid_files --apply)

الحلول البديلة

نوصي بشدة بالترقية إلى أحدث الإصدارات، وفي حالة عدم القدرة على الترقية فورًا، تتضمن الحلول البديلة الممكنة ما يلي:

• تكوين الخوادم التي تستضيف ملفات الوسائط (مثل CDN أو الوكيل العكسي) لإرجاع ترويسة Content-Disposition: attachment. وهذا يوجه المتصفحات إلى تنزيل الملف بدلاً من عرضها في المتصفح.
• منع الخوادم من إرجاع ملفات HTML وSVG.
• إعداد Content-Security-Policy لملفات الوسائط، مثل Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

المراجع

• تم إدخال المشكلة بواسطة https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• التوثيق: https://docs.saleor.io/security/#restricted-file-uploads
• تصحيح main: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

شكر وتقدير

تم الإبلاغ عن هذه الثغرة الأمنية بواسطة Łukasz Rybak.

المراجع

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

إخلاء المسؤولية

تم الإفصاح عن هذا CVE بشكل مسؤول وفقًا لممارسات الإفصاح المنسق عن الثغرات الأمنية. المعلومات المقدمة هنا لأغراض تعليمية ودفاعية فقط.