CVE-2026-23499: Saleor असीमित फ़ाइल अपलोड के माध्यम से संग्रहीत XSS के लिए संवेदनशील

अवलोकन

प्रभावित उत्पाद

• saleor/saleor

विवरण

Saleor ने प्रमाणित स्टाफ उपयोगकर्ताओं या Apps को मनमानी फ़ाइलें अपलोड करने की अनुमति दी, जिनमें Javascript युक्त दुर्भावनापूर्ण HTML और SVG फ़ाइलें शामिल हैं। परिनियोजन रणनीति के आधार पर, ये फ़ाइलें डैशबोर्ड के समान डोमेन से बिना किसी प्रतिबंध के प्रदान की जा सकती हैं, जिससे उपयोगकर्ता के ब्राउज़र के संदर्भ में दुर्भावनापूर्ण स्क्रिप्ट्स निष्पादित हो सकती हैं।

प्रभाव

दुर्भावनापूर्ण स्टाफ सदस्य अन्य स्टाफ सदस्यों को निशाना बनाने के लिए स्क्रिप्ट इंजेक्शन तैयार कर सकते हैं, संभवतः उनके एक्सेस और/या रिफ्रेश टोकन चुरा सकते हैं।

क्या मैं प्रभावित हूँ?

आप प्रभावित हैं यदि:

• आप मीडिया फ़ाइलों को डैशबोर्ड के समान डोमेन के अंदर होस्ट करते हैं, जैसे, डैशबोर्ड example.com/dashboard/ पर है और मीडिया example.com/media/ के अंतर्गत है - यदि मीडिया फ़ाइलें किसी भिन्न डोमेन पर होस्ट की जाती हैं, जैसे media.example.com, तो आप प्रभावित नहीं हैं।
• आप मीडिया फ़ाइलों के लिए Content-Disposition: attachment हेडर नहीं लौटाते हैं।

Saleor Cloud उपयोगकर्ता प्रभावित नहीं हैं।

पहचान और शमन

यह मुद्दा संस्करणों में पैच किया गया है: 3.22.27, 3.21.43, और 3.20.108।

महत्वपूर्ण: यदि आपको लगता है कि आप प्रभावित हैं, या यदि आप अनिश्चित हैं या सत्यापित करना चाहते हैं, तो आपको निम्न कमांड चलानी चाहिए:

$ ./manage.py remove_invalid_files

यह सभी अपलोड की गई फ़ाइलों (मीडिया स्टोरेज में, जैसे, फ़ाइलसिस्टम, S3 बकेट, आदि) को स्कैन करता है। आपको अप्रत्याशित फ़ाइलों की तलाश करनी चाहिए, यदि आपको अंतर दिखाई देते हैं, तो या तो:

• कॉन्फ़िगरेशन बदलें ताकि Saleor फ़ाइल की अनुमति दे (फ़ाइल अपलोड के दस्तावेज़ीकरण देखें)
• फ़ाइल को मैन्युअल रूप से या स्वचालित रूप से हटाएं (./manage.py remove_invalid_files --apply)

वर्कअराउंड

हम दृढ़ता से नवीनतम संस्करणों में अपग्रेड करने की अनुशंसा करते हैं, तुरंत अपग्रेड करने में असमर्थता के मामले में, संभावित वर्कअराउंड हैं:

• मीडिया फ़ाइलों को होस्ट करने वाले सर्वर (जैसे, CDN या रिवर्स प्रॉक्सी) को Content-Disposition: attachment हेडर लौटाने के लिए कॉन्फ़िगर करें। यह ब्राउज़र को फ़ाइलों को ब्राउज़र में प्रस्तुत करने के बजाय डाउनलोड करने का निर्देश देता है।
• सर्वर को HTML और SVG फ़ाइलें लौटाने से रोकें।
• मीडिया फ़ाइलों के लिए Content-Security-Policy सेट-अप करें, जैसे Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

संदर्भ

• मुद्दा इसके द्वारा पेश किया गया: https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• दस्तावेज़ीकरण: https://docs.saleor.io/security/#restricted-file-uploads
• main पैच: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

आभार

यह भेद्यता Łukasz Rybak द्वारा रिपोर्ट की गई थी।

संदर्भ

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

अस्वीकरण

यह CVE समन्वित भेद्यता प्रकटीकरण प्रथाओं का पालन करते हुए जिम्मेदारी से प्रकट किया गया था। यहाँ प्रदान की गई जानकारी केवल शैक्षिक और रक्षात्मक उद्देश्यों के लिए है।