Saleor には、異なるエラーメッセージが原因でユーザー列挙の脆弱性があります

CVE-2026-39851 は、Saleor eコマースプラットフォームに影響を与えます。バージョン 2.10.0 から 3.23.0a3、3.22.47、3.21.54、および 3.20.118 以前のバージョンでは、requestEmailChange() ミューテーションがエラーメッセージ内でユーザーが提供したメールアドレスの存在を明らかにしました。これにより、攻撃者はユーザーアカウントに関連付けられているメールアドレスの有無を確認できる可能性があり、ブルートフォース攻撃やソーシャルエンジニアリングに使用される可能性があります。アカウントへの直接アクセスは許可されませんが、メールアドレスの存在を確認することは、標的型攻撃における重要な一歩です。この脆弱性の重大度は中程度であり、攻撃者が脆弱性を悪用するために特定のメールアドレスを知っているか推測している必要があります。

1. 予約済み2026-04-07
2. 公開日2026-04-08
3. EPSS 更新日2026-04-16

この脆弱性を軽減するには、Saleor をバージョン 3.23.0a3、3.22.47、3.21.54、または 3.20.118 にアップデートすることを強くお勧めします。これらのバージョンには、エラーメッセージ内でメールアドレスが公開されるのを防ぐ修正が含まれています。その間、一時的な措置として、エラーメッセージにメールアドレスがログに記録されないようにログフィルタリングを実装できます。Saleor プラットフォームの構成を慎重に確認し、機密情報の公開を容易にする可能性のある他の設定がないことを確認することが重要です。プラットフォームのセキュリティを維持するための基本的なプラクティスとして、定期的なセキュリティパッチの適用が不可欠です。