CVE-2026-35401
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Saleor to platforma e-commerce. W wersjach od 2.0.0 do 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, złośliwy użytkownik może wysłać wiele mutacji lub zapytań GraphQL w jednym wywołaniu API, używając aliasów lub łańcuchowania wielu mutacji, co prowadzi do wyczerpania zasobów. Problem został naprawiony w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
Ocena ryzyka
Atakujący może przeciążyć serwer, powodując odmowę usługi (DoS) i uniemożliwiając działanie sklepu internetowego.
Rekomendacja
Należy zaktualizować Saleor do jednej z załatanych wersji: 3.23.0a3, 3.22.47, 3.21.54 lub 3.20.118.
Inne podatności w Saleor
Zobacz wszystkie- CVE-2026-44472Wysokie
Saleor od wersji 2.10.0rc1 do 3.21.67, 3.22.63 i 3.23.22 traktuje weryfikację e-maila jako wystarczający dowód własności konta i automatycznie łączy anonimowe dane handlowe z nowo aktywowanym kontem. Atakujący może utworzyć konto z adresem e-mail ofiary, a po aktywacji przez ofiarę uzyskać dostęp do jej historii zamówień i danych osobowych.
- CVE-2026-48744Średnie
Saleor w wersjach od 3.14.67 do 3.21.67, 3.22.63 i 3.23.22 ma wadliwą kontrolę autoryzacji w saleor/permission/utils.py, która może błędnie autoryzować nieuwierzytelnione żądania GraphQL. Pozwala to anonimowym użytkownikom na użycie mutacji channelUpdate() do zmiany ustawień zamówień, takich jak allowUnpaidOrders, nawet gdy odpowiedź zgłasza PermissionDenied. Ta sama funkcja może ujawniać ukryte obiekty przez zapytania pageType() i translation(), w tym atrybuty z visibleInStorefront ustawionym na false.
- CVE-2026-39851Średnie
Saleor, platforma e-commerce, w wersjach od 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, zawiera podatność w mutacji requestEmailChange(), która ujawniała istnienie adresów e-mail podanych przez użytkownika w komunikatach błędów. Podatność została naprawiona w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
- CVE-2026-35407Średnie
Saleor od wersji 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 ma lukę w logice biznesowej i autoryzacji w przepływie zmiany adresu email. Token zmiany emaila wygenerowany dla jednego konta może być użyty podczas uwierzytelnienia jako inne konto, co prowadzi do zmiany adresu email drugiego konta na nowy adres z tokena.
- CVE-2026-33756Wysokie
Saleor od wersji 2.0.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 obsługuje grupowanie zapytań GraphQL bez ograniczenia liczby operacji. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP z wieloma operacjami, omijając limit złożoności na zapytanie.
Oryginalny opis (angielski, źródło NVD)
Saleor is an e-commerce platform. From 2.0.0 to before 3.23.0a3, 3.22.47, 3.21.54, and 3.20.118, a malicious actor can include many GraphQL mutations or queries in a single API call using aliases or chaining multiple mutations, resulting in resource exhaustion. This vulnerability is fixed in 3.23.0a3, 3.22.47, 3.21.54, and 3.20.118.