CVE-2026-44472 in Saleor
Zusammenfassung
von VulDB • 18.08.2026
Saleor ist eine E-Commerce-Plattform. Von der Version 2.10.0rc1 bis zu den Versionen 3.21.67, 3.22.63 und 3.23.22 behandelt der Account-Aktivierungsfluss die E-Mail-Bestätigung als ausreichenden Nachweis des Konto-Eigentums und verknüpft automatisch anonyme Handelsdaten mit dem neu aktivierten Konto. Ein Angreifer kann accountRegister nutzen, um ein Konto mit der E-Mail-Adresse eines Opfers zu erstellen, bevor das Opfer sich registriert. Wenn das Opfer den an diese Mailbox gesendeten Aktivierungslink aufruft, aktiviert Saleor das vom Angreifer erstellte Konto und saleor/graphql/account/mutations/account/confirm_account.py kann anonyme Bestellungen und Geschenkkartendaten für dieselbe E-Mail-Adresse zusammenführen, ohne dass das Kontopasswort oder ein weiterer Authentifizierungsfaktor erforderlich ist. Der Angreifer hat daraufhin Zugriff auf die zusammengeführten Bestellhistorien und persönlichen Daten, einschließlich Namen, Adressen und Telefonnummern. Die gepatchten unterstützten Versionen deaktivieren das automatische Zusammenführen standardmäßig, während der neu gestaltete Flow in 3.24.0 eine Passwortbestätigung vor dem Verknüpfen anonymer Objekte erfordert. Dieses Problem ist in den Versionen 3.21.67, 3.22.63 und 3.23.22 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.