CVE-2026-23499

Saleor bir e-ticaret platformudur. 3.0.0 sürümünden başlayarak 3.20.108, 3.21.43 ve 3.22.27 sürümlerinden önceki versiyonlarda Saleor, kimliği doğrulanmış personel kullanıcılarının veya Uygulamaların, Javascript içeren kötü amaçlı HTML ve SVG dosyaları da dahil olmak üzere rastgele dosyalar yüklemesine izin vermekteydi. Dağıtım stratejisine bağlı olarak bu dosyalar, herhangi bir kısıtlama olmaksızın panel ile aynı alan adından sunulabilir ve bu durum kullanıcının tarayıcısı bağlamında kötü amaçlı betiklerin çalıştırılmasına yol açabilir. Kötü niyetli personel üyeleri, diğer personel üyelerini hedeflemek için betik enjeksiyonları oluşturarak erişim ve/veya yenileme belirteçlerini çalabilirler. Kullanıcılar, medya dosyalarını panel ile aynı alan adı içinde barındırıyorlarsa (örneğin; panel `example.com/dashboard/` adresinde ve medyalar `example.com/media/` altındaysa) risk altındadırlar. Medya dosyalarının farklı bir alan adında (örneğin; `media.example.com`) barındırılması durumunda etkilenmezler. Kullanıcılar, medya dosyaları için `Content-Disposition: attachment` üst bilgisini döndürmüyorlarsa etkilenirler. Saleor Cloud kullanıcıları etkilenmemektedir. Bu sorun şu sürümlerde düzeltilmiştir: 3.22.27, 3.21.43 ve 3.20.108. Yükseltme yapamayanlar için bazı geçici çözümler mevcuttur. Medya dosyalarını barındıran sunucuları (örneğin; CDN veya ters proxy), `Content-Disposition: attachment` üst bilgisini döndürecek şekilde yapılandırın. Bu, tarayıcılara dosyaları tarayıcıda işlemek yerine indirmelerini söyler. Sunucuların HTML ve SVG dosyalarını döndürmesini engelleyin. Medya dosyaları için `Content-Security-Policy: default-src 'none'; base-uri 'none'; frame-ancestors 'none'; form-action 'none';` gibi bir `Content-Security-Policy` kurulumu yapın.