CVE-2026-23499: Saleor vulnerable a XSS almacenado mediante carga de archivos sin restricciones

Resumen

Productos afectados

• saleor/saleor

Detalles

Saleor permitía a usuarios autenticados del personal o a Apps subir archivos arbitrarios, incluyendo archivos HTML y SVG maliciosos que contienen Javascript. Dependiendo de la estrategia de despliegue, estos archivos pueden servirse desde el mismo dominio que el panel de control sin restricciones, lo que lleva a la ejecución de scripts maliciosos en el contexto del navegador del usuario.

Impacto

Los miembros del personal maliciosos podrían crear inyecciones de scripts dirigidas a otros miembros del personal, posiblemente robando sus tokens de acceso y/o de actualización.

¿Estoy afectado?

Estás afectado si:

• Alojas los archivos multimedia dentro del mismo dominio que el panel de control, p. ej., el panel está en example.com/dashboard/ y los archivos multimedia están bajo example.com/media/ - no estás afectado si los archivos multimedia están alojados en un dominio diferente, p. ej., media.example.com.
• No devuelves una cabecera Content-Disposition: attachment para los archivos multimedia.

Los usuarios de Saleor Cloud no están afectados.

Detección y mitigaciones

Este problema ha sido parcheado en las versiones: 3.22.27, 3.21.43 y 3.20.108.

IMPORTANTE: si crees que estás afectado, o si no estás seguro o quieres verificarlo, debes ejecutar el siguiente comando:

$ ./manage.py remove_invalid_files

Esto escanea todos los archivos subidos (en el almacenamiento de medios, p. ej., el sistema de archivos, un bucket de S3, etc.). Debes buscar archivos inesperados; si ves diferencias, entonces, o bien:

• Cambia la configuración para que Saleor permita el archivo (consulta la documentación para la carga de archivos)
• Elimina el archivo manual o automáticamente (./manage.py remove_invalid_files --apply)

Soluciones alternativas

Recomendamos encarecidamente actualizar a las últimas versiones; en caso de no poder actualizar de inmediato, posibles soluciones alternativas son:

• Configura los servidores que alojan los archivos multimedia (p. ej., CDN o proxy inverso) para que devuelvan la cabecera Content-Disposition: attachment. Esto indica a los navegadores que descarguen el archivo en lugar de renderizarlos en el navegador.
• Evita que los servidores devuelvan archivos HTML y SVG.
• Configura una Content-Security-Policy para los archivos multimedia, como Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Referencias

• Problema introducido por https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Documentación: https://docs.saleor.io/security/#restricted-file-uploads
• Parche en main: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Agradecimientos

Esta vulnerabilidad fue reportada por Łukasz Rybak.

Referencias

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Descargo de responsabilidad

Este CVE fue divulgado de manera responsable siguiendo prácticas de divulgación coordinada de vulnerabilidades. La información proporcionada aquí es solo con fines educativos y defensivos.