CVE-2026-23499: Saleor、無制限のファイルアップロードによる保存型XSSの影響を受けやすい

概要

影響を受ける製品

• saleor/saleor

詳細

Saleor は、認証されたスタッフユーザーまたはアプリが、JavaScript を含む悪意のある HTML および SVG ファイルを含む任意のファイルをアップロードすることを許可していました。デプロイ戦略によっては、これらのファイルはダッシュボードと同じドメインから制限なく配信され、ユーザーのブラウザのコンテキストで悪意のあるスクリプトが実行される可能性があります。

影響

悪意のあるスタッフメンバーは、他のスタッフメンバーを標的とするスクリプトインジェクションを作成し、そのアクセストークンやリフレッシュトークンを盗む可能性があります。

影響を受けますか?

以下の場合、影響を受けます:

• メディアファイルをダッシュボードと同じドメインでホストしている場合。例: ダッシュボードが example.com/dashboard/ にあり、メディアが example.com/media/ にある場合 - メディアファイルが別のドメイン (例: media.example.com) でホストされている場合は影響を受けません。
• メディアファイルに対して Content-Disposition: attachment ヘッダーを返さない場合。

Saleor Cloud ユーザーは影響を受けません。

検出と対策

この問題は、バージョン 3.22.27、3.21.43、3.20.108 で修正されています。

重要: 影響を受けていると思われる場合、または不明な場合や確認したい場合は、次のコマンドを実行してください:

$ ./manage.py remove_invalid_files

これは、アップロードされたすべてのファイル (メディアストレージ内、例: ファイルシステム、S3 バケットなど) をスキャンします。予期しないファイルがないか確認してください。差異が見つかった場合は、次のいずれかを実行します:

• Saleor がファイルを許可するように設定を変更する (ファイルアップロードのドキュメント を参照)
• ファイルを手動または自動で削除する (./manage.py remove_invalid_files --apply)

回避策

最新バージョンへのアップグレードを強くお勧めします。すぐにアップグレードできない場合の回避策は次のとおりです:

• メディアファイルをホストしているサーバー (例: CDN またはリバースプロキシ) が Content-Disposition: attachment ヘッダーを返すように設定します。これにより、ブラウザはファイルをレンダリングする代わりにダウンロードするようになります。
• サーバーが HTML ファイルと SVG ファイルを返さないようにします。
• メディアファイルに対して Content-Security-Policy を設定します。例: Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

参照

• 問題を導入したコミット: https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• ドキュメント: https://docs.saleor.io/security/#restricted-file-uploads
• main パッチ: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

謝辞

この脆弱性は Łukasz Rybak によって報告されました。

参照

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

免責事項

この CVE は、協調的な脆弱性開示の慣行に従って責任を持って開示されました。ここで提供される情報は、教育および防御のみを目的としています。