CVE-2026-23499

Zusammenfassung

Saleor ist eine E-Commerce-Plattform. Ab Version 3.0.0 und vor den Versionen 3.20.108, 3.21.43 und 3.22.27 erlaubte Saleor authentifizierten Mitarbeiter-Benutzern oder Apps das Hochladen beliebiger Dateien, einschließlich schädlicher HTML- und SVG-Dateien, die JavaScript enthalten. Abhängig von der Bereitstellungsstrategie können diese Dateien von derselben Domain wie das Dashboard ohne jegliche Einschränkungen bereitgestellt werden, was zur Ausführung schädlicher Skripte im Kontext des Browsers des Benutzers führt. Böswillige Mitarbeiter konnten Skript-Injektionen erstellen, die auf andere Mitarbeiter abzielen und möglicherweise deren Zugriffs- und/oder Aktualisierungstokens stehlen. Benutzer sind verwundbar, wenn sie die Mediendateien in derselben Domain wie das Dashboard hosten, z. B. Dashboard unter `example.com/dashboard/` und Medien unter `example.com/media/`. Sie sind nicht betroffen, wenn Mediendateien in einer anderen Domain gehostet werden, z. B. `media.example.com`. Benutzer sind betroffen, wenn sie keinen `Content-Disposition: attachment`-Header für die Mediendateien zurückgeben. Saleor-Cloud-Benutzer sind nicht betroffen. Dieses Problem wurde in den Versionen 3.22.27, 3.21.43 und 3.20.108 behoben. Für diejenigen, die kein Upgrade durchführen können, sind einige Workarounds verfügbar. Konfigurieren Sie die Server, die die Mediendateien hosten (z. B. CDN oder Reverse-Proxy), so, dass sie den `Content-Disposition: attachment`-Header zurückgeben. Dies weist Browser an, die Datei herunterzuladen, anstatt sie im Browser darzustellen. Verhindern Sie, dass die Server HTML- und SVG-Dateien zurückgeben. Richten Sie eine `Content-Security-Policy` für Mediendateien ein, z. B. `Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';`.

• CVE-2026-23499Informativ

  CVE-2026-23499 - Saleor anfällig für gespeichertes XSS durch uneingeschränkten Datei-Upload