CVE-2026-48744

Nome do Software Vulnerável e Versões Afetadas Saleor versões 3.14.67 até 3.21.66 Saleor versões 3.22.0 até 3.22.62 Saleor versões 3.23.0 até 3.23.21

Description Uma verificação de autorização quebrada em saleor/permission/utils.py permite que requisições GraphQL não autenticadas sejam incorretamente autorizadas. Essa falha permite que usuários anônimos utilizem a mutação channelUpdate() para alterar configurações de pedido de canal, como allowUnpaidOrders, mesmo quando a resposta reporta PermissionDenied. Adicionalmente, o mesmo utilitário de permissão pode expor objetos ocultos através das consultas pageType() e translation(), incluindo atributos cujo campo visibleInStorefront é falso e que deveriam estar visíveis apenas para usuários com permissões de gerenciamento.

Recommendations Atualizar para a versão 3.21.67. Atualizar para a versão 3.22.63. Atualizar para a versão 3.23.22.