CVE-2026-48744 in Saleor
Résumé
par VulDB • 18/08/2026
Saleor est une plateforme de commerce électronique. De la version 3.14.67 jusqu'aux versions 3.21.67, 3.22.63 et 3.23.22, un contrôle d'autorisation défectueux dans saleor/permission/utils.py peut autoriser incorrectement les requêtes GraphQL non authentifiées. Cette faille permet aux appelants anonymes d'utiliser la mutation channelUpdate() pour modifier les paramètres de commande des canaux, tels que allowUnpaidOrders, même lorsque la réponse indique PermissionDenied (Autorisation refusée). Le même utilitaire d'autorisation peut exposer des objets cachés via les requêtes pageType() et translation(), y compris les attributs dont le champ visibleInStorefront est false et qui ne devraient être visibles que par les utilisateurs disposant de permissions de gestion. Ce problème est corrigé dans les versions 3.21.67, 3.22.63 et 3.23.22.
If you want to get best quality of vulnerability data, you may have to visit VulDB.