1 artículo con esta etiqueta
El 28 de octubre de 2026, el Equipo de Seguridad de Drupal publicó SA-CONTRIB-2026-254 para el módulo Commerce Core (CVE-2026-118539). El módulo no protege lo suficiente ciertas rutas y campos de entidad, lo que permite una omisión de acceso que puede tener un impacto financiero para el dueño de la tienda. Drupal la clasifica como Muy crítica (21/25), sin requerir autenticación, y afirma que se está explotando activamente en la práctica. Las versiones afectadas son las anteriores a 8.x-2.41 y de 3.0.0 hasta 3.3.13 sin incluir; las versiones corregidas son 8.x-2.41 y 3.3.13. El registro de NVD muestra una puntuación CVSS v3.1 más baja, de 6,5, añadida por el ADP de CISA, y sigue pendiente de análisis. A fecha del 31 de octubre no figura en el catálogo KEV de CISA. Nuestra conclusión: si gestiona una tienda online en Drupal Commerce, actualice ya y audite los pedidos y pagos recientes por si hay algo incoherente.