Drupal Commerce Core: злоумышленники эксплуатируют критическую уязвимость авторизации

Злоумышленники эксплуатируют критическую уязвимость авторизации в Drupal Commerce Core

Drupal предупреждает об активной эксплуатации критической уязвимости авторизации в модуле Commerce Core. Уязвимость позволяет злоумышленникам обходить проверки доступа. Это ставит под угрозу онлайн-магазины, использующие уязвимые версии модуля. Уязвимость получила идентификатор CVE-2026-118539. Исследователи Dan Puccetti, Marcus Johansson и Robert Snyder сообщили об этой проблеме разработчикам. Разработчики подтвердили факт активной эксплуатации уязвимости в реальных атаках.

Commerce Core позволяет продавать товары и услуги через интернет-магазины

Модуль Commerce Core обеспечивает функциональность для продажи товаров и услуг клиентам. Он включает корзину покупок и форму оформления заказа. Также модуль поддерживает работу с decoupled-приложениями через API. Уязвимость заключается в недостаточных проверках авторизации. Это приводит к обходу доступа и может нанести финансовый ущерб продавцам. Модуль не обеспечивает достаточную защиту определенных маршрутов и полей сущностей. Это позволяет осуществлять принудительный просмотр (Forceful Browsing).

Уязвимость затрагивает версии с 0.0.0 по 2.41 и с 3.0.0 по 3.3.13

Уязвимость CVE-2026-118539 затрагивает версии модуля Commerce Core с 0.0.0 по 2.41. Также уязвимы версии с 3.0.0 по 3.3.13. Разработчики рекомендуют обновить установки до последних доступных версий. Пользователям ветки 3.x следует обновиться до версии 3.3.13. Пользователям более ранних версий необходимо перейти на Commerce Core 8.x-2.41. В мае Drupal предупреждал об эксплуатации уязвимости SQL-инъекции CVE-2026-9082 в API абстракции базы данных. Агентство кибербезопасности и инфраструктурной безопасности США (CISA) внесло эту уязвимость в каталог известных эксплуатируемых уязвимостей (KEV).

Обновите Drupal Commerce Core до актуальной версии

Пользователям Drupal Commerce Core необходимо обновить свои установки. Пользователи ветки 3.x должны перейти на версию 3.3.13. Владельцам более ранних версий следует обновиться до Commerce Core 8.x-2.41. Своевременное обновление устранит уязвимость авторизации CVE-2026-118539.