CVE-2026-23499

总结

Saleor 是一个电子商务平台。从 3.0.0 版本开始，直至 3.20.108、3.21.43 和 3.22.27 之前的版本，Saleor 允许已认证的员工用户或应用上传任意文件，包括包含 Javascript 的恶意 HTML 和 SVG 文件。根据部署策略的不同，这些文件可能会与仪表盘在同一域名下被提供，且不受任何限制，从而导致恶意脚本在用户浏览器上下文中执行。恶意员工可以构造脚本注入以针对其他员工，可能窃取其访问令牌和/或刷新令牌。如果用户将媒体文件托管在与仪表盘相同的域名下，例如仪表盘位于 `example.com/dashboard/` 而媒体文件位于 `example.com/media/`，则容易受到攻击。如果媒体文件托管在不同的域名下，例如 `media.example.com`，则不受影响。如果用户未为媒体文件返回 `Content-Disposition: attachment` 响应头，则会受到影响。Saleor Cloud 用户不受影响。此问题已在以下版本中修复：3.22.27、3.21.43 和 3.20.108。对于无法升级的用户，有一些变通方案可用。配置托管媒体文件的服务器（例如 CDN 或反向代理）以返回 `Content-Disposition: attachment` 响应头。这会指示浏览器下载文件而不是在浏览器中渲染它们。阻止服务器返回 HTML 和 SVG 文件。为媒体文件设置 `Content-Security-Policy`，例如 `Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';`。

• CVE-2026-23499信息

  CVE-2026-23499 - Saleor 存在通过不受限制的文件上传导致的存储型 XSS 漏洞