CVE-2026-23499: Saleor anfällig für gespeichertes XSS durch uneingeschränkten Datei-Upload

Übersicht

Betroffene Produkte

• saleor/saleor

Details

Saleor erlaubte authentifizierten Staff-Benutzern oder Apps, beliebige Dateien hochzuladen, einschließlich bösartiger HTML- und SVG-Dateien, die JavaScript enthalten. Abhängig von der Bereitstellungsstrategie können diese Dateien ohne Einschränkungen von derselben Domain wie das Dashboard ausgeliefert werden, was zur Ausführung bösartiger Skripte im Kontext des Browser des Benutzers führt.

Auswirkungen

Bösartige Mitarbeiter konnten Skript-Injection-Angriffe erstellen, um andere Mitarbeiter anzugreifen und möglicherweise deren Zugriffs- und/oder Refresh-Tokens zu stehlen.

Bin ich betroffen?

Sie sind betroffen, wenn:

• Sie die Mediendateien in derselben Domain wie das Dashboard hosten, z. B. Dashboard unter example.com/dashboard/ und Medien unter example.com/media/ – Sie sind nicht betroffen, wenn Mediendateien in einer anderen Domain gehostet werden, z. B. media.example.com.
• Sie für die Mediendateien keinen Content-Disposition: attachment-Header zurückgeben.

Saleor-Cloud-Benutzer sind nicht betroffen.

Erkennung & Gegenmaßnahmen

Dieses Problem wurde in den Versionen 3.22.27, 3.21.43 und 3.20.108 behoben.

WICHTIG: Wenn Sie glauben, betroffen zu sein, oder sich unsicher sind bzw. es überprüfen möchten, führen Sie den folgenden Befehl aus:

$ ./manage.py remove_invalid_files

Dies scannt alle hochgeladenen Dateien (im Medienspeicher, z. B. im Dateisystem, einem S3-Bucket usw.). Sie sollten nach unerwarteten Dateien suchen. Wenn Sie Unterschiede sehen, dann entweder:

• Ändern Sie die Konfiguration so, dass Saleor die Datei zulässt (siehe Dokumentation für Datei-Uploads).
• Löschen Sie die Datei manuell oder automatisch (./manage.py remove_invalid_files --apply).

Workarounds

Wir empfehlen dringend, auf die neuesten Versionen zu aktualisieren. Falls ein sofortiges Update nicht möglich ist, sind mögliche Workarounds:

• Konfigurieren Sie die Server, die die Mediendateien hosten (z. B. CDN oder Reverse-Proxy), so, dass sie den Content-Disposition: attachment-Header zurückgeben. Dadurch werden Browser angewiesen, die Datei herunterzuladen, anstatt sie im Browser darzustellen.
• Verhindern Sie, dass die Server HTML- und SVG-Dateien ausliefern.
• Richten Sie eine Content-Security-Policy für Mediendateien ein, z. B. Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Referenzen

• Problem eingeführt durch https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Dokumentation: https://docs.saleor.io/security/#restricted-file-uploads
• main-Patch: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Danksagungen

Diese Sicherheitslücke wurde von Łukasz Rybak gemeldet.

Referenzen

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Haftungsausschluss

Dieses CVE wurde im Rahmen koordinierter Offenlegungspraktiken (Coordinated Vulnerability Disclosure) verantwortungsvoll gemeldet. Die hier bereitgestellten Informationen dienen ausschließlich Bildungs- und Verteidigungszwecken.