CVE-2026-23499: Saleor vulnerável a XSS armazenado via Upload de Arquivos Irrestrito

Visão Geral

Produtos Afetados

• saleor/saleor

Detalhes

O Saleor permitia que usuários da equipe autenticados ou Apps enviassem arquivos arbitrários, incluindo arquivos HTML e SVG maliciosos contendo Javascript. Dependendo da estratégia de implantação, esses arquivos podem ser servidos a partir do mesmo domínio do painel sem quaisquer restrições, levando à execução de scripts maliciosos no contexto do navegador do usuário.

Impacto

Membros mal-intencionados da equipe poderiam criar injeções de scripts para atingir outros membros da equipe, possivelmente roubando seus tokens de acesso e/ou de atualização.

Fui Impactado?

Você é impactado se:

• Você hospeda os arquivos de mídia no mesmo domínio do painel, ex.: o painel está em example.com/dashboard/ e as mídias estão em example.com/media/ - você não é impactado se os arquivos de mídia estiverem hospedados em um domínio diferente, ex.: media.example.com.
• Você não retorna um cabeçalho Content-Disposition: attachment para os arquivos de mídia.

Usuários do Saleor Cloud não são impactados.

Detecção e Mitigações

Este problema foi corrigido nas versões: 3.22.27, 3.21.43 e 3.20.108.

IMPORTANTE: se você acredita que foi impactado, ou se não tem certeza ou deseja verificar, você deve executar o seguinte comando:

$ ./manage.py remove_invalid_files

Isto examina todos os arquivos enviados (no armazenamento de mídia, ex.: sistema de arquivos, um bucket S3, etc.). Você deve procurar por arquivos inesperados; se notar diferenças, então:

• Altere a configuração para que o Saleor permita o arquivo (veja a documentação para uploads de arquivos)
• Exclua o arquivo manualmente ou automaticamente (./manage.py remove_invalid_files --apply)

Soluções Alternativas

Recomendamos fortemente atualizar para as versões mais recentes; caso não seja possível atualizar imediatamente, algumas soluções alternativas possíveis são:

• Configure os servidores que hospedam os arquivos de mídia (ex.: CDN ou proxy reverso) para retornar o cabeçalho Content-Disposition: attachment. Isso instrui os navegadores a baixar o arquivo em vez de renderizá-lo no navegador.
• Impeça que os servidores retornem arquivos HTML e SVG.
• Configure uma Content-Security-Policy para arquivos de mídia, como Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Referências

• Problema introduzido por https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Documentação: https://docs.saleor.io/security/#restricted-file-uploads
• Correção main: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Agradecimentos

Esta vulnerabilidade foi reportada por Łukasz Rybak.

Referências

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Aviso Legal

Este CVE foi divulgado de forma responsável seguindo as práticas de divulgação coordenada de vulnerabilidades. As informações fornecidas aqui são apenas para fins educacionais e de defesa.