CVE-2026-22849: Saleor не имеет надлежащей очистки HTML в полях форматированного текста

Обзор

Затронутые продукты

• saleor/saleor

Подробности

Saleor позволял пользователям изменять поля форматированного текста с помощью HTML без запуска серверных очистителей HTML, что позволяло злоумышленникам выполнять сохранённые XSS-атаки на панелях управления и витринах магазинов.

Влияние

Злоумышленники из числа сотрудников могли создавать инъекции скриптов для нацеливания на других сотрудников, потенциально похищая их токены доступа и/или токены обновления.

Меры по устранению

Эта проблема исправлена в версиях: 3.22.27, 3.21.43 и 3.20.108.

ВАЖНО: если вы считаете, что вы затронуты, или если вы не уверены или хотите проверить, выполните следующую команду:

$ ./manage.py clean_editorjs_fields

Эта команда сканирует все поля форматированного текста и отобразит обнаруженные различия. Следует искать подозрительные различия (например, неожиданный JavaScript-код), и если вы хотите устранить различия, выполните ./manage.py clean_editorjs_fields --apply

Обходные пути

Мы настоятельно рекомендуем обновляться до последних версий; в случае невозможности немедленного обновления возможным обходным путём является использование клиентского очистителя, такого как DOMPurify.

Ссылки

• Проблема внесена коммитом: https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Документация: https://docs.saleor.io/security/#editorjs--html-cleaning
• Патч для main: https://github.com/saleor/saleor/commit/b67a0b9d9f243e5d6c2f9c7643d42a54c24c90ee
• 3.22: https://github.com/saleor/saleor/commit/676d95dbc7d811610e68f2ea8f9b6652cbd58e9b
• 3.21: https://github.com/saleor/saleor/commit/1085c7813224a0a65f1dac7275cbc3244e23c386
• 3.20: https://github.com/saleor/saleor/commit/bb5f883aeb0f085899a9d4f35d429cf7eb07a11d

Благодарности

Об этой уязвимости сообщили Quyền Vũ и Łukasz Rybak.

Ссылки

• https://github.com/saleor/saleor/security/advisories/GHSA-8jcj-r5g2-qrpv
• https://github.com/saleor/saleor/commit/1085c7813224a0a65f1dac7275cbc3244e23c386
• https://github.com/saleor/saleor/commit/676d95dbc7d811610e68f2ea8f9b6652cbd58e9b
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/b67a0b9d9f243e5d6c2f9c7643d42a54c24c90ee
• https://github.com/saleor/saleor/commit/bb5f883aeb0f085899a9d4f35d429cf7eb07a11d
• https://docs.saleor.io/security/#editorjs--html-cleaning

Отказ от ответственности

Этот CVE был раскрыт ответственно в соответствии с практиками скоординированного раскрытия уязвимостей. Информация, представленная здесь, предназначена только для образовательных и защитных целей.