CVE-2026-48744 in Saleor
Sumário
de VulDB • 20/08/2026
Saleor é uma plataforma de comércio eletrônico. Da versão 3.14.67 até as versões 3.21.67, 3.22.63 e 3.23.22, um erro na verificação de autorização em saleor/permission/utils.py pode autorizar incorretamente requisições GraphQL não autenticadas. A falha permite que chamantes anônimos usem a mutação channelUpdate() para alterar as configurações de ordem do canal, como allowUnpaidOrders, mesmo quando a resposta relata PermissionDenied (Permissão Negada). O mesmo utilitário de permissões pode expor objetos ocultos por meio das consultas pageType() e translation(), incluindo atributos cujo campo visibleInStorefront é false e que deveriam ser visíveis apenas para usuários com permissões de gerenciamento. Este problema foi corrigido nas versões 3.21.67, 3.22.63 e 3.23.22.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.