Drupal ha instado a los administradores a corregir una vulnerabilidad crítica que permite eludir controles de acceso en el módulo Commerce Core. Según Drupal, los atacantes la están explotando activamente.
La vulnerabilidad, identificada como CVE-2026-118539, se debe a la falta de controles de autorización. Según el aviso de Drupal, atacantes no autenticados pueden aprovechar determinadas rutas y campos de entidades, lo que podría causar perjuicios económicos a los vendedores.
La vulnerabilidad afecta a las versiones de Commerce Core desde la 0.0.0 hasta la 2.41 y desde la 3.0.0 hasta la 3.3.13. El equipo de seguridad de Drupal instó a los administradores de la rama 3.x a actualizar de inmediato a Commerce Core 3.3.13, o a Commerce Core 8.x-2.41 si usan versiones anteriores. También recomendó revisar los pedidos para detectar incoherencias.
Commerce Core es un módulo desarrollado por la comunidad para crear sitios de comercio electrónico y aplicaciones de compras sobre Drupal. Lo utilizan más de 42.000 sitios web, entre ellos empresas de Fortune 500 y universidades de investigación.
Drupal explicó que el módulo permite vender mediante un carrito de compra y un formulario de pago incluidos, o a través de aplicaciones desacopladas que usan API. El aviso recibió la calificación de «altamente crítico».
Comentarios
0Aún no hay comentarios. Escribe el primero.