CVE-2026-23499 : Saleor vulnérable aux XSS stockées via un téléversement de fichiers sans restriction

Vue d'ensemble

Produits concernés

• saleor/saleor

Détails

Saleor permettait aux utilisateurs du personnel authentifiés ou aux Apps de téléverser des fichiers arbitraires, y compris des fichiers HTML et SVG malveillants contenant du Javascript. En fonction de la stratégie de déploiement, ces fichiers peuvent être servis depuis le même domaine que le tableau de bord sans aucune restriction, ce qui conduit à l'exécution de scripts malveillants dans le contexte du navigateur de l'utilisateur.

Impact

Des membres du personnel malveillants pourraient concevoir des injections de scripts pour cibler d'autres membres du personnel, en volant potentiellement leurs jetons d'accès et/ou de rafraîchissement.

Suis-je concerné ?

Vous êtes concerné si :

• Vous hébergez les fichiers médias sur le même domaine que le tableau de bord, par exemple, le tableau de bord est à example.com/dashboard/ et les médias sont sous example.com/media/ — vous n'êtes pas concerné si les fichiers médias sont hébergés sur un domaine différent, par exemple media.example.com.
• Vous ne renvoyez pas d'en-tête Content-Disposition: attachment pour les fichiers médias.

Les utilisateurs de Saleor Cloud ne sont pas concernés.

Détection et mesures d'atténuation

Ce problème a été corrigé dans les versions : 3.22.27, 3.21.43 et 3.20.108.

IMPORTANT : si vous pensez être concerné, ou si vous n'êtes pas sûr ou souhaitez vérifier, vous devez exécuter la commande suivante :

$ ./manage.py remove_invalid_files

Cette commande analyse tous les fichiers téléversés (dans le stockage des médias, par exemple, le système de fichiers, un compartiment S3, etc.). Vous devez rechercher des fichiers inattendus. Si vous constatez des différences, vous pouvez alors :

• Modifiez la configuration pour que Saleor autorise le fichier (voir la documentation pour les téléversements de fichiers)
• Supprimez le fichier manuellement ou automatiquement (./manage.py remove_invalid_files --apply)

Contournements

Nous recommandons vivement de mettre à niveau vers les dernières versions ; si vous ne pouvez pas effectuer la mise à niveau immédiatement, voici des contournements possibles :

• Configurez les serveurs hébergeant les fichiers médias (par exemple, CDN ou proxy inverse) pour qu'ils renvoient l'en-tête Content-Disposition: attachment. Cela demande aux navigateurs de télécharger le fichier au lieu de le restituer dans le navigateur.
• Empêchez les serveurs de renvoyer des fichiers HTML et SVG.
• Mettez en place une Content-Security-Policy pour les fichiers médias, telle que Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Références

• Problème introduit par https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Documentation : https://docs.saleor.io/security/#restricted-file-uploads
• Correctif main : https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22 : https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21 : https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20 : https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Remerciements

Cette vulnérabilité a été signalée par Łukasz Rybak.

Références

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Avertissement

Cette CVE a été divulguée de manière responsable conformément aux pratiques de divulgation coordonnée des vulnérabilités. Les informations fournies ici le sont uniquement à des fins éducatives et défensives.