CVE-2026-48744 in Saleor
Zusammenfassung
von VulDB • 18.08.2026
Saleor ist eine E-Commerce-Plattform. Von der Version 3.14.67 bis zu den Versionen 3.21.67, 3.22.63 und 3.23.22 kann eine fehlerhafte Autorisierungsprüfung in saleor/permission/utils.py nicht authentifizierte GraphQL-Anfragen fälschlicherweise autorisieren. Der Fehler ermöglicht es anonymen Aufrufern, die Mutation channelUpdate() zu verwenden, um Kanalbestellungen wie allowUnpaidOrders zu ändern, selbst wenn die Antwort PermissionDenied meldet. Dieselbe Berechtigungsutilität kann versteckte Objekte über die Abfragen pageType() und translation() offenlegen, einschließlich Attributen, deren Feld visibleInStorefront den Wert false hat und die nur für Benutzer mit Verwaltungsrechten sichtbar sein sollten. Dieses Problem wurde in den Versionen 3.21.67, 3.22.63 und 3.23.22 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.