CVE-2026-48744 in Saleor
Riassunto
di VulDB • 18/08/2026
Saleor è una piattaforma di e-commerce. Dalla versione 3.14.67 fino alle versioni 3.21.67, 3.22.63 e 3.23.22, un controllo dell'autorizzazione difettoso in saleor/permission/utils.py può autorizzare erroneamente le richieste GraphQL non autenticate. La vulnerabilità consente ai chiamanti anonimi di utilizzare la mutation channelUpdate() per modificare le impostazioni dell'ordine del canale, come allowUnpaidOrders, anche quando la risposta riporta PermissionDenied. Lo stesso utility delle permessi può esporre oggetti nascosti attraverso le query pageType() e translation(), inclusi gli attributi il cui campo visibleInStorefront è false e che dovrebbero essere visibili solo agli utenti con privilegi di gestione. Questo problema è risolto nelle versioni 3.21.67, 3.22.63 e 3.23.22.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.