CVE-2026-22849
Saleor ne dispose pas d'une désinfection HTML appropriée dans les champs de texte enrichi
- Publié
- 21 janv. 2026
- Mise à jour
- 22 janv. 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 6 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 14,7 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Saleor est une plateforme de commerce électronique. À partir de la version 3.0.0 et avant les versions 3.20.108, 3.21.43 et 3.22.27, Saleor permettait aux utilisateurs de modifier des champs de texte enrichi avec du HTML sans exécuter de nettoyeurs HTML côté backend, ce qui permettait à des acteurs malveillants de mener des attaques XSS stockées sur les tableaux de bord et les boutiques en ligne. Des membres du personnel malveillants pouvaient concevoir des injections de scripts ciblant d'autres membres du personnel, volant potentiellement leurs jetons d'accès et/ou de rafraîchissement. Ce problème a été corrigé dans les versions 3.22.27, 3.21.43 et 3.20.108. En cas d'impossibilité de mise à niveau immédiate, une solution de contournement possible consiste à utiliser un nettoyeur côté client.
Sources
- CVE-2026-22849Informationnel
CVE-2026-22849 - Saleor ne dispose pas d'une désinfection HTML appropriée dans les champs de texte enrichi
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.