CVE-2026-23499: Saleor vulnerabile a XSS persistente tramite caricamento di file senza restrizioni

Panoramica

Prodotti interessati

• saleor/saleor

Dettagli

Saleor consentiva agli utenti dello staff autenticati o alle App di caricare file arbitrari, inclusi file HTML e SVG dannosi contenenti JavaScript. A seconda della strategia di distribuzione, questi file possono essere serviti dallo stesso dominio della dashboard senza alcuna restrizione, portando all'esecuzione di script dannosi nel contesto del browser dell'utente.

Impatto

Membri dello staff malintenzionati potevano creare injection di script per colpire altri membri dello staff, potenzialmente rubando i loro token di accesso e/o di refresh.

Sono interessato?

Sei interessato se:

• Ospiti i file multimediali nello stesso dominio della dashboard, ad esempio la dashboard è su example.com/dashboard/ e i media sono su example.com/media/ - non sei interessato se i file multimediali sono ospitati su un dominio diverso, ad esempio media.example.com.
• Non restituisci un header Content-Disposition: attachment per i file multimediali.

Gli utenti di Saleor Cloud non sono interessati.

Rilevamento e mitigazioni

Questo problema è stato corretto nelle versioni: 3.22.27, 3.21.43 e 3.20.108.

IMPORTANTE: se ritieni di essere interessato, o se non sei sicuro o vuoi verificare, dovresti eseguire il seguente comando:

$ ./manage.py remove_invalid_files

Questa operazione analizza tutti i file caricati (nello storage dei media, ad esempio il filesystem, un bucket S3, ecc.). Dovresti cercare file inattesi; se noti differenze, allora:

• Modifica la configurazione in modo che Saleor accetti il file (vedi la documentazione per il caricamento dei file)
• Elimina il file manualmente o automaticamente (./manage.py remove_invalid_files --apply)

Soluzioni alternative

Raccomandiamo vivamente di aggiornare alle versioni più recenti; in caso di impossibilità ad aggiornare subito, alcune possibili soluzioni alternative sono:

• Configurare i server che ospitano i file multimediali (ad esempio CDN o reverse proxy) per restituire l'header Content-Disposition: attachment. Questo indica ai browser di scaricare il file invece di visualizzarlo nel browser.
• Impedire ai server di restituire file HTML e SVG.
• Configurare una Content-Security-Policy per i file multimediali, ad esempio Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Riferimenti

• Problema introdotto da https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Documentazione: https://docs.saleor.io/security/#restricted-file-uploads
• patch su main: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Riconoscimenti

Questa vulnerabilità è stata segnalata da Łukasz Rybak.

Riferimenti

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Disclaimer

Questa CVE è stata divulgata in modo responsabile seguendo le pratiche di divulgazione coordinata delle vulnerabilità. Le informazioni qui fornite sono solo a scopo didattico e difensivo.