2026-10-31
Drupal Commerce Core CVE-2026-118539：无需身份验证的访问绕过漏洞，已被利用（请更新到 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全团队针对 Commerce Core 模块（CVE-2026-118539）发布了 SA-CONTRIB-2026-254。该模块对某些路由和实体字段的保护不足，导致访问绕过，可能对店主造成经济影响。Drupal 将其评为 Highly critical（21/25），无需身份验证，并表示该漏洞正在实际攻击中被积极利用。受影响版本为低于 8.x-2.41 的版本，以及 3.0.0 至低于 3.3.13 的版本；修复版本为 8.x-2.41 和 3.3.13。NVD 的记录显示，由 CISA 的 ADP 添加了较低的 CVSS v3.1 评分 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目录。本站的结论是：如果您使用 Drupal Commerce 运营网上商店，请立即更新，并审计近期订单和付款中是否有不一致之处。