CVE-2026-48744 in Saleor
Resumen
por VulDB • 2026-08-18
Saleor es una plataforma de comercio electrónico. Desde la versión 3.14.67 hasta las versiones 3.21.67, 3.22.63 y 3.23.22, un error en la verificación de autorización en saleor/permission/utils.py puede autorizar incorrectamente solicitudes GraphQL no autenticadas. La vulnerabilidad permite que los llamantes anónimos utilicen la mutación channelUpdate() para modificar configuraciones del canal, como allowUnpaidOrders, incluso cuando la respuesta indica PermissionDenied (Permiso denegado). El mismo módulo de permisos puede exponer objetos ocultos a través de las consultas pageType() y translation(), incluyendo atributos cuyo campo visibleInStorefront es false y que deberían ser visibles únicamente para usuarios con permisos de administración. Este problema se soluciona en las versiones 3.21.67, 3.22.63 y 3.23.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.