CVE-2026-22849: Saleor 富文本字段缺少适当的 HTML 净化处理

概述

受影响产品

• saleor/saleor

详情

Saleor 允许用户使用 HTML 修改富文本字段，而未在后端运行任何 HTML 净化器，从而允许恶意行为者对仪表板和店面执行存储型 XSS 攻击。

影响

恶意员工可以构造脚本注入来针对其他员工，可能窃取他们的访问令牌和/或刷新令牌。

缓解措施

该问题已在以下版本中修复：3.22.27、3.21.43 和 3.20.108。

重要提示：如果您认为自己受到影响，或者不确定或想要验证，应运行以下命令：

$ ./manage.py clean_editorjs_fields

这将扫描所有富文本字段并显示检测到的任何差异。您应查找可疑的差异（例如，意外的 javascript 代码），如果希望修复这些差异，请运行 ./manage.py clean_editorjs_fields --apply

临时解决方案

我们强烈建议升级到最新版本，如果无法立即升级，一种可能的临时解决方案是使用客户端净化器，例如 DOMPurify。

参考资料

• 问题引入自 https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• 文档：https://docs.saleor.io/security/#editorjs--html-cleaning
• main 分支补丁：https://github.com/saleor/saleor/commit/b67a0b9d9f243e5d6c2f9c7643d42a54c24c90ee
• 3.22：https://github.com/saleor/saleor/commit/676d95dbc7d811610e68f2ea8f9b6652cbd58e9b
• 3.21：https://github.com/saleor/saleor/commit/1085c7813224a0a65f1dac7275cbc3244e23c386
• 3.20：https://github.com/saleor/saleor/commit/bb5f883aeb0f085899a9d4f35d429cf7eb07a11d

致谢

此漏洞由 Quyền Vũ 和 Łukasz Rybak 报告。

参考资料

• https://github.com/saleor/saleor/security/advisories/GHSA-8jcj-r5g2-qrpv
• https://github.com/saleor/saleor/commit/1085c7813224a0a65f1dac7275cbc3244e23c386
• https://github.com/saleor/saleor/commit/676d95dbc7d811610e68f2ea8f9b6652cbd58e9b
• https://github.com/saleor/saleor/commit/9110eba68c3f73afa1f72b45bd9b1394c752d335
• https://github.com/saleor/saleor/commit/b67a0b9d9f243e5d6c2f9c7643d42a54c24c90ee
• https://github.com/saleor/saleor/commit/bb5f883aeb0f085899a9d4f35d429cf7eb07a11d
• https://docs.saleor.io/security/#editorjs--html-cleaning

免责声明

此 CVE 已按照协调漏洞披露实践负责任地披露。此处提供的信息仅用于教育和防御目的。