CVE-2026-93650
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
W Saleorze stwierdzono podatność do wersji 3.20.118/3.21.54/3.22.47/3.23.14. Podatnością dotknięta jest funkcja get_client_ip pliku saleor/account/throttling.py. Dokonanie manipulacji może prowadzić do niewłaściwego ograniczenia nadmiernych prób uwierzytelnienia. Atak może zostać przeprowadzony zdalnie. Atak wymaga wysokiego poziomu złożoności. Stwierdzono, że eksploatacja jest trudna. Exploit został publicznie ujawniony i może zostać wykorzystany. Wewnętrzny bilet projektu nr 19203 przyznaje, że „w większości wdrożeń można sfałszować adres IP” i że ustawienie typu REAL_IP_ENVIRON omija funkcję get_client_ip; poprawka (wybór przeskoku od prawej do lewej RFC 7239) została zaproponowana, ale nadal nie została scalona. Sprzedawca wyjaśnia w wiadomości e-mail, że „nie jest to luka, działa zgodnie z przeznaczeniem, Saleor oczekuje, że XFF będzie poprawnie skonfigurowany”.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org