2026-10-31
Drupal Commerce Core CVE-2026-118539: обход доступа без аутентификации, активно эксплуатируется (обновитесь до 8.x-2.41 или 3.3.13)
28 октября 2026 года команда безопасности Drupal опубликовала SA-CONTRIB-2026-254 для модуля Commerce Core (CVE-2026-118539). Модуль недостаточно защищает определенные маршруты и поля сущностей, что допускает обход доступа, который может иметь финансовые последствия для владельца магазина. Drupal оценивает уязвимость как Highly critical (21/25), не требующую аутентификации, и заявляет, что она активно эксплуатируется на практике. Затронуты версии ниже 8.x-2.41 и с 3.0.0 до, но не включая, 3.3.13; исправленные версии — 8.x-2.41 и 3.3.13. В записи NVD указана более низкая оценка CVSS v3.1 6,5, добавленная ADP CISA, и запись все еще ожидает анализа. По состоянию на 31 октября ее нет в каталоге KEV CISA. Наш вывод: если вы управляете интернет-магазином на Drupal Commerce, обновитесь сейчас и проверьте недавние заказы и платежи на предмет несоответствий.