CVE-2026-44472
Təsvir
Saleor elektron ticarət platformasıdır. 2.10.0rc1 versiyasından etibarən 3.21.67, 3.22.63 və 3.23.22 versiyalarına qədər hesabın aktivləşdirilməsi prosesi e-poçt təsdiqini hesab sahibliyinin kifayət qədər sübutu kimi qəbul edir və anonim ticarət məlumatlarını avtomatik olaraq yeni aktivləşdirilmiş hesabla əlaqələndirir. Hücumçu, qurban qeydiyyatdan keçməzdən əvvəl accountRegister vasitəsilə qurbanın e-poçt ünvanı ilə hesab yarada bilər. Əgər qurban həmin poçt qutusuna göndərilən aktivləşdirmə linkinə daxil olarsa, Saleor hücumçu tərəfindən yaradılmış hesabı aktivləşdirir və saleor/graphql/account/mutations/account/confirm_account.py faylı hesab şifrəsini və ya digər autentifikasiya faktorunu tələb etmədən eyni e-poçt ünvanı üçün anonim sifarişləri və hədiyyə kartı məlumatlarını birləşdirə bilər. Bundan sonra hücumçu birləşdirilmiş sifariş tarixçəsinə və adlar, ünvanlar, telefon nömrələri də daxil olmaqla şəxsi məlumatlara giriş əldə edə bilər. Düzəliş edilmiş dəstəklənən versiyalarda avtomatik birləşdirmə standart olaraq deaktiv edilib, yenidən dizayn edilmiş 3.24.0 axını isə anonim obyektlər əlaqələndirilməzdən əvvəl şifrənin təsdiqini tələb edir. Bu problem 3.21.67, 3.22.63 və 3.23.22 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| saleor saleor | >= 2.10.0rc1, < 3.21.67, >= 3.22.0-a.0, < 3.22.63, >= 3.23.0-a.0, < 3.23.22 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.