CVE-2026-39851

W Saleor do wersji 3.20.118/3.21.54/3.22.47/3.23.14 funkcja get_client_ip w pliku saleor/account/throttling.py pozwala na obejście ograniczeń liczby prób uwierzytelniania poprzez fałszowanie adresu IP. Producent uznaje to za działanie zgodne z projektem, twierdząc, że nagłówek XFF powinien być prawidłowo skonfigurowany. Exploit został publicznie ujawniony.

Saleor od wersji 2.10.0rc1 do 3.21.67, 3.22.63 i 3.23.22 traktuje weryfikację e-maila jako wystarczający dowód własności konta i automatycznie łączy anonimowe dane handlowe z nowo aktywowanym kontem. Atakujący może utworzyć konto z adresem e-mail ofiary, a po aktywacji przez ofiarę uzyskać dostęp do jej historii zamówień i danych osobowych.

Saleor w wersjach od 3.14.67 do 3.21.67, 3.22.63 i 3.23.22 ma wadliwą kontrolę autoryzacji w saleor/permission/utils.py, która może błędnie autoryzować nieuwierzytelnione żądania GraphQL. Pozwala to anonimowym użytkownikom na użycie mutacji channelUpdate() do zmiany ustawień zamówień, takich jak allowUnpaidOrders, nawet gdy odpowiedź zgłasza PermissionDenied. Ta sama funkcja może ujawniać ukryte obiekty przez zapytania pageType() i translation(), w tym atrybuty z visibleInStorefront ustawionym na false.

Saleor od wersji 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 ma lukę w logice biznesowej i autoryzacji w przepływie zmiany adresu email. Token zmiany emaila wygenerowany dla jednego konta może być użyty podczas uwierzytelnienia jako inne konto, co prowadzi do zmiany adresu email drugiego konta na nowy adres z tokena.

Saleor to platforma e-commerce. W wersjach od 2.0.0 do 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, złośliwy użytkownik może wysłać wiele mutacji lub zapytań GraphQL w jednym wywołaniu API, używając aliasów lub łańcuchowania wielu mutacji, co prowadzi do wyczerpania zasobów. Problem został naprawiony w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.

Saleor od wersji 2.0.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 obsługuje grupowanie zapytań GraphQL bez ograniczenia liczby operacji. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP z wieloma operacjami, omijając limit złożoności na zapytanie.