CVE-2026-23499

概要

Saleorは、eコマースプラットフォームです。バージョン3.0.0以降、および3.20.108、3.21.43、3.22.27より前のバージョンにおいて、Saleorでは認証されたスタッフユーザーまたはアプリが、悪意のあるHTMLやJavaScriptを含むSVGファイルを含む任意のファイルをアップロードできました。デプロイ戦略によっては、これらのファイルはダッシュボードと同じドメインから制限なしに配信され、ユーザーのブラウザのコンテキストで悪意のあるスクリプトが実行される可能性があります。悪意のあるスタッフメンバーは、他のスタッフメンバーを標的としたスクリプトインジェクションを作成し、そのアクセストークンやリフレッシュトークンを窃取する可能性があります。メディアファイルをダッシュボードと同じドメイン内でホストしている場合（例：ダッシュボードが `example.com/dashboard/` にあり、メディアが `example.com/media/` 配下にある場合）、ユーザーは脆弱です。メディアファイルが別のドメイン（例：`media.example.com`）でホストされている場合は影響を受けません。メディアファイルに対して `Content-Disposition: attachment` ヘッダーを返さない場合、ユーザーは影響を受けます。Saleor Cloudユーザーは影響を受けません。この問題は、バージョン3.22.27、3.21.43、および3.20.108で修正されています。アップグレードできないユーザー向けに、いくつかの回避策が用意されています。メディアファイルをホストするサーバー（例：CDNやリバースプロキシ）を構成して、`Content-Disposition: attachment` ヘッダーを返すようにしてください。これにより、ブラウザはファイルをレンダリングする代わりにダウンロードするようになります。サーバーがHTMLおよびSVGファイルを返さないようにしてください。メディアファイルに対して `Content-Security-Policy` を設定してください。例：`Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';`。

• CVE-2026-23499情報

  CVE-2026-23499 - Saleorは、無制限のファイルアップロードを介した保存型XSSに対して脆弱です