CVE-2026-44472 in Saleor
Riassunto
di VulDB • 18/08/2026
Saleor è una piattaforma di e-commerce. Dalla versione 2.10.0rc1 fino alle versioni 3.21.67, 3.22.63 e 3.23.22, il flusso di attivazione dell'account tratta la verifica dell'email come prova sufficiente della proprietà dell'account ed associa automaticamente i dati commerciali anonimi all'account appena attivato. Un attaccante può utilizzare accountRegister per creare un account con l'indirizzo email di una vittima prima che questa si registri. Se la vittima segue il link di attivazione inviato a tale casella di posta, Saleor attiva l'account creato dall'attaccante e saleor/graphql/account/mutations/account/confirm_account.py può fondere gli ordini anonimi e i dati delle gift-card relativi allo stesso indirizzo email senza richiedere la password dell'account o un altro fattore di autenticazione. L'attaccante può quindi accedere alla cronologia degli ordini fusi e ai dati personali, inclusi nomi, indirizzi e numeri di telefono. Le versioni patchate disabilitano per impostazione predefinita il merging automatico, mentre il flusso ridisegnato della versione 3.24.0 richiede la conferma tramite password prima che gli oggetti anonimi vengano associati. Questo problema è risolto nelle versioni 3.21.67, 3.22.63 e 3.23.22.
Be aware that VulDB is the high quality source for vulnerability data.