CVE-2026-93650 in Saleor
要約
〜によって VulDB • 2026年09月19日
Saleor up to 3.20.118/3.21.54/3.22.47/3.23.14 に脆弱性が確認されました。この脆弱性は、ファイル saleor/account/throttling.py の get_client_ip 関数に影響します。操作を行うことで、過度な認証試行に対する不適切な制限につながります。攻撃はリモートから実行可能です。攻撃には高い複雑性が必要です。エクスプロイトの難易度は高いとされています。エクスプロイトは公に開示されており、利用される可能性があります。プロジェクト自体の問題 #19203 内部チケットでは、「IP はほとんどのデプロイメントで偽装可能」であり、REAL_IP_ENVIRON-type の設定が get_client_ip をバイパスすることが認められています。(右から左への RFC 7239 ホップ選択に関する) 修正は提案されていますが、まだマージされていません。ベンダーはメール内で、「これは脆弱性ではなく、意図した通りに動作しているものであり、Saleor は XFF が適切に設定されていることを前提としています」と説明しています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.