CVE-2026-93650
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 45 - wyżej niż 45% wszystkich znanych CVE
Streszczenie
W Saleor do wersji 3.20.118/3.21.54/3.22.47/3.23.14 funkcja get_client_ip w pliku saleor/account/throttling.py pozwala na obejście ograniczeń liczby prób uwierzytelniania poprzez fałszowanie adresu IP. Producent uznaje to za działanie zgodne z projektem, twierdząc, że nagłówek XFF powinien być prawidłowo skonfigurowany. Exploit został publicznie ujawniony.
Ocena ryzyka
Atakujący może obejść mechanizm throttlingu i przeprowadzać nieograniczone próby logowania (brute force), co może prowadzić do przejęcia konta. Ryzyko dotyczy wdrożeń, w których nagłówek XFF nie jest prawidłowo konfigurowany.
Rekomendacja
Zapewnij prawidłową konfigurację nagłówka X-Forwarded-For na poziomie reverse proxy oraz rozważ wdrożenie poprawki (right-to-left RFC 7239 hop selection), gdy tylko zostanie scalona. Monitoruj logi pod kątem nietypowych wzorców prób logowania.
Inne podatności w Saleor
Zobacz wszystkie- CVE-2026-44472Wysokie
Saleor od wersji 2.10.0rc1 do 3.21.67, 3.22.63 i 3.23.22 traktuje weryfikację e-maila jako wystarczający dowód własności konta i automatycznie łączy anonimowe dane handlowe z nowo aktywowanym kontem. Atakujący może utworzyć konto z adresem e-mail ofiary, a po aktywacji przez ofiarę uzyskać dostęp do jej historii zamówień i danych osobowych.
- CVE-2026-48744Średnie
Saleor w wersjach od 3.14.67 do 3.21.67, 3.22.63 i 3.23.22 ma wadliwą kontrolę autoryzacji w saleor/permission/utils.py, która może błędnie autoryzować nieuwierzytelnione żądania GraphQL. Pozwala to anonimowym użytkownikom na użycie mutacji channelUpdate() do zmiany ustawień zamówień, takich jak allowUnpaidOrders, nawet gdy odpowiedź zgłasza PermissionDenied. Ta sama funkcja może ujawniać ukryte obiekty przez zapytania pageType() i translation(), w tym atrybuty z visibleInStorefront ustawionym na false.
- CVE-2026-39851Średnie
Saleor, platforma e-commerce, w wersjach od 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, zawiera podatność w mutacji requestEmailChange(), która ujawniała istnienie adresów e-mail podanych przez użytkownika w komunikatach błędów. Podatność została naprawiona w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
- CVE-2026-35407Średnie
Saleor od wersji 2.10.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 ma lukę w logice biznesowej i autoryzacji w przepływie zmiany adresu email. Token zmiany emaila wygenerowany dla jednego konta może być użyty podczas uwierzytelnienia jako inne konto, co prowadzi do zmiany adresu email drugiego konta na nowy adres z tokena.
- CVE-2026-35401Wysokie
Saleor to platforma e-commerce. W wersjach od 2.0.0 do 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118, złośliwy użytkownik może wysłać wiele mutacji lub zapytań GraphQL w jednym wywołaniu API, używając aliasów lub łańcuchowania wielu mutacji, co prowadzi do wyczerpania zasobów. Problem został naprawiony w wersjach 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118.
- CVE-2026-33756Wysokie
Saleor od wersji 2.0.0 do przed 3.23.0a3, 3.22.47, 3.21.54 i 3.20.118 obsługuje grupowanie zapytań GraphQL bez ograniczenia liczby operacji. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP z wieloma operacjami, omijając limit złożoności na zapytanie.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was determined in Saleor up to 3.20.118/3.21.54/3.22.47/3.23.14. This vulnerability affects the function get_client_ip of the file saleor/account/throttling.py. Executing a manipulation can lead to improper restriction of excessive authentication attempts. The attack can be executed remotely. The attack requires a high level of complexity. It is stated that the exploitability is difficult. The exploit has been publicly disclosed and may be utilized. The projects own issue #19203 internal ticket admits "IP can be spoofed in most deployments" and that its REAL_IP_ENVIRON-type setting bypasses get_client_ip; fix (right-to-left RFC 7239 hop selection) proposed but still unmerged. The vendor explains within an email, that "[t]his is not a vulnerability, this is working at intended, Saleor expects XFF to be configured properly".
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS