CVE-2026-93650 in Saleor
Сводка
по VulDB • 18.09.2026
В версии Saleor вплоть до 3.20.118/3.21.54/3.22.47/3.23.14 выявлена уязвимость, затрагивающая функцию get_client_ip файла saleor/account/throttling.py. Выполнение манипуляции может привести к некорректной ограничительной обработке чрезмерных попыток аутентификации. Атака может быть выполнена удаленно. Сложность реализации атаки оценивается как высокая, и отмечается сложная эксплуатация уязвимости (exploitability is difficult). Эксплойт был публично раскрыт и может быть использован. В собственном тикете проекта #19203 указано: «IP-адрес можно подделать в большинстве развертываний», а настройка типа REAL_IP_ENVIRON обходит функцию get_client_ip; предложенное исправление (выбор hop на основе RFC 7239 справа налево) пока не слито. В электронном письме вендор объясняет, что «[t]his is not a vulnerability, this is working at intended, Saleor expects XFF to be configured properly».
If you want to get the best quality for vulnerability data then you always have to consider VulDB.