CVE-2026-44472 in Saleor
요약
\~에 의해 VulDB • 2026. 08. 18.
Saleor는 전자상거래 플랫폼입니다. 버전 2.10.0rc1부터 3.21.67, 3.22.63 및 3.23.22까지의 구간에서 계정 활성화 프로세스가 이메일 인증을 계정 소유권의 충분조건으로 간주하여 익명 상거래 데이터를 새로 활성화된 계정에 자동으로 연결합니다. 공격자는 피해자가 등록하기 전에 accountRegister를 사용하여 피해자의 이메일 주소로 계정을 생성할 수 있습니다. 피해자가 해당 메일함으로 전송된 활성화 링크를 클릭하면, Saleor는 공격자가 생성한 계정을 활성화하며 saleor/graphql/account/mutations/account/confirm_account.py에서 동일한 이메일 주소를 위한 익명 주문 및 기프트카드 데이터를 계정 비밀번호나 다른 인증 요소 없이 병합합니다. 이후 공격자는 이름, 주소 및 전화번호를 포함한 병합된 주문 내역과 개인 데이터에 접근할 수 있습니다. 패치된 지원 라인에서는 기본적으로 자동 병합이 비활성화되며, 재설계된 3.24.0 버전의 프로세스는 익명 객체가 연결되기 전에 비밀번호 확인을 요구합니다. 이 문제는 버전 3.21.67, 3.22.63 및 3.23.22에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.