CVE-2026-44472
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Saleor od wersji 2.10.0rc1 do 3.21.67, 3.22.63 i 3.23.22 traktuje weryfikację e-maila jako wystarczający dowód własności konta i automatycznie łączy anonimowe dane handlowe z nowo aktywowanym kontem. Atakujący może utworzyć konto z adresem e-mail ofiary, a po aktywacji przez ofiarę uzyskać dostęp do jej historii zamówień i danych osobowych.
Ocena ryzyka
Organizacja narażona jest na naruszenie prywatności klientów, ponieważ atakujący może przejąć historię zamówień i dane osobowe ofiary, co może prowadzić do kradzieży tożsamości i naruszenia przepisów o ochronie danych.
Rekomendacja
Zaleca się aktualizację Saleor do wersji 3.21.67, 3.22.63 lub 3.23.22 (lub nowszej) oraz włączenie wymogu potwierdzenia hasła przed scaleniem anonimowych danych.
Inne podatności w Saleor
Zobacz wszystkie- CVE-2026-93650Niskie
W Saleor do wersji 3.20.118/3.21.54/3.22.47/3.23.14 funkcja get_client_ip w pliku saleor/account/throttling.py pozwala na obejście ograniczeń liczby prób uwierzytelniania poprzez fałszowanie adresu IP. Producent uznaje to za działanie zgodne z projektem, twierdząc, że nagłówek XFF powinien być prawidłowo skonfigurowany. Exploit został publicznie ujawniony.
- CVE-2026-48744Średnie
Saleor w wersjach od 3.14.67 do 3.21.67, 3.22.63 i 3.23.22 ma wadliwą kontrolę autoryzacji w saleor/permission/utils.py, która może błędnie autoryzować nieuwierzytelnione żądania GraphQL. Pozwala to anonimowym użytkownikom na użycie mutacji channelUpdate() do zmiany ustawień zamówień, takich jak allowUnpaidOrders, nawet gdy odpowiedź zgłasza PermissionDenied. Ta sama funkcja może ujawniać ukryte obiekty przez zapytania pageType() i translation(), w tym atrybuty z visibleInStorefront ustawionym na false.
- CVE-2026-39851Średnie
Saleor, platforma e-commerce, w wersjach od 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, zawiera podatność w mutacji requestEmailChange(), która ujawniała istnienie adresów e-mail podanych przez użytkownika w komunikatach błędów. Podatność została naprawiona w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
- CVE-2026-35407Średnie
Saleor od wersji 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 ma lukę w logice biznesowej i autoryzacji w przepływie zmiany adresu email. Token zmiany emaila wygenerowany dla jednego konta może być użyty podczas uwierzytelnienia jako inne konto, co prowadzi do zmiany adresu email drugiego konta na nowy adres z tokena.
- CVE-2026-35401Wysokie
Saleor to platforma e-commerce. W wersjach od 2.0.0 do 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, złośliwy użytkownik może wysłać wiele mutacji lub zapytań GraphQL w jednym wywołaniu API, używając aliasów lub łańcuchowania wielu mutacji, co prowadzi do wyczerpania zasobów. Problem został naprawiony w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
- CVE-2026-33756Wysokie
Saleor od wersji 2.0.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 obsługuje grupowanie zapytań GraphQL bez ograniczenia liczby operacji. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP z wieloma operacjami, omijając limit złożoności na zapytanie.
Oryginalny opis (angielski, źródło NVD)
Saleor is an e-commerce platform. From 2.10.0rc1 until 3.21.67, 3.22.63, and 3.23.22, the account activation flow treats email verification as sufficient proof of account ownership and automatically associates anonymous commerce data with the newly activated account. An attacker can use accountRegister to create an account with a victim's email address before the victim registers. If the victim follows the activation link sent to that mailbox, Saleor activates the attacker-created account and saleor/graphql/account/mutations/account/confirm_account.py can merge anonymous orders and gift-card data for the same email address without requiring the account password or another authentication factor. The attacker can then access the merged order history and personal data, including names, addresses, and phone numbers. The patched supported lines disable automatic merging by default, while the redesigned 3.24.0 flow requires password confirmation before anonymous objects are linked. This issue is fixed in versions 3.21.67, 3.22.63, and 3.23.22.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS