2026-10-31
Drupal Commerce Core CVE-2026-118539：無需身分驗證的存取繞過漏洞，已遭利用（請更新至 8.x-2.41 或 3.3.13）
2026年10月28日，Drupal 安全團隊針對 Commerce Core 模組（CVE-2026-118539）發布了 SA-CONTRIB-2026-254。該模組對某些路由與實體欄位的保護不足，導致存取繞過，可能對店主造成財務影響。Drupal 將其評為 Highly critical（21/25），無需身分驗證，並表示該漏洞正在實際攻擊中被積極利用。受影響版本為低於 8.x-2.41 的版本，以及 3.0.0 至低於 3.3.13 的版本；修補版本為 8.x-2.41 與 3.3.13。NVD 的紀錄顯示，由 CISA 的 ADP 加入了較低的 CVSS v3.1 分數 6.5，目前仍在等待分析。截至10月31日，它尚未列入 CISA 的 KEV 目錄。本站的結論是：如果您使用 Drupal Commerce 經營線上商店，請立即更新，並稽核近期訂單與付款中是否有不一致之處。