CVE-2026-23499: Saleor уязвим к хранимому XSS через неограниченную загрузку файлов

Обзор

Поле	Сведения
Идентификатор CVE	CVE-2026-23499
Серьёзность	ВЫСОКАЯ
Консультация	Просмотреть консультацию
Обнаружил	Lukasz Rybak

Затронутые продукты

• saleor/saleor

Сведения

Saleor позволял аутентифицированным сотрудникам или приложениям (Apps) загружать произвольные файлы, включая вредоносные HTML- и SVG-файлы, содержащие JavaScript. В зависимости от стратегии развёртывания эти файлы могут обслуживаться с того же домена, что и панель управления, без каких-либо ограничений, что приводит к выполнению вредоносных сценариев в контексте браузера пользователя.

Воздействие

Недобросовестные сотрудники могли создавать инъекции сценариев, нацеленные на других сотрудников, возможно, похищая их токены доступа и/или обновления (refresh-токены).

Затронут ли я?

Вы затронуты, если:

• Вы размещаете медиафайлы в том же домене, что и панель управления, например, панель находится по адресу example.com/dashboard/, а медиа — в example.com/media/; вы не затронуты, если медиафайлы размещены в другом домене, например, media.example.com.
• Вы не возвращаете заголовок Content-Disposition: attachment для медиафайлов.

Пользователи Saleor Cloud не затронуты.

Обнаружение и меры по смягчению последствий

Эта проблема исправлена в версиях: 3.22.27, 3.21.43 и 3.20.108.

ВАЖНО: если вы считаете, что вы затронуты, не уверены или хотите проверить, выполните следующую команду:

$ ./manage.py remove_invalid_files

Эта команда сканирует все загруженные файлы (в медиахранилище, например, в файловой системе, корзине S3 и т. д.). Вам следует поискать неожиданные файлы; если вы видите расхождения, сделайте одно из следующих действий:

• Измените конфигурацию, чтобы Saleor разрешал файл (см. документацию по загрузке файлов)
• Удалите файл вручную или автоматически (./manage.py remove_invalid_files --apply)

Обходные пути

Мы настоятельно рекомендуем обновиться до последних версий; если немедленное обновление невозможно, возможными обходными путями являются:

• Настройте серверы, обслуживающие медиафайлы (например, CDN или обратный прокси), чтобы они возвращали заголовок Content-Disposition: attachment. Это заставляет браузеры скачивать файл вместо отображения их в браузере.
• Запретите серверам отдавать HTML- и SVG-файлы.
• Настройте политику безопасности содержимого (Content-Security-Policy) для медиафайлов, например: Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';

Ссылки

• Проблема внесена коммитом https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• Документация: https://docs.saleor.io/security/#restricted-file-uploads
• Патч для main: https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• 3.22: https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• 3.21: https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• 3.20: https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99

Благодарности

Об этой уязвимости сообщил Łukasz Rybak.

Ссылки

• https://github.com/saleor/saleor/security/advisories/GHSA-666h-2p49-pg95
• https://github.com/saleor/saleor/commit/77f7927a0db9a216440df92c51012136f13e1d99
• https://github.com/saleor/saleor/commit/7d33efc7a06252320cd51cbb20c2e308aed2fd10
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/ac6936a336289c77398ef600cad3498ad4ba261c
• https://github.com/saleor/saleor/commit/b3cb27b3fe96dae3c879063e56d32a9398eabd24
• https://docs.saleor.io/security/#restricted-file-uploads

Отказ от ответственности

Данная уязвимость (CVE) была раскрыта ответственно в соответствии с практикой скоординированного раскрытия уязвимостей. Информация, представленная здесь, предназначена только для образовательных и защитных целей.