Saleorはeコマースプラットフォームです。バージョン3.0.0から3.20.108、3.21.43、および3.22.27より前のバージョンにおいて、SaleorはバックエンドのHTMLクリーナーを実行せずにユーザーがリッチテキストフィールドのHTMLを変更できる状態でした。そのため、悪意のある者がダッシュボードやストアフロント上でストアドXSS攻撃を行う可能性がありました。悪意のあるスタッフはスクリプトインジェクションを作成し、他のスタッフを標的にしてそのアクセスおよび/またはリフレッシュトークンを盗む可能性がありました。この問題はバージョン3.22.27、3.21.43、および3.20.108で修正されています。すぐにアップグレードできない場合の暫定的な対策として、クライアント側のクリーナーを使用する方法があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。