Drupal, aktif olarak istismar edilen kritik Commerce Core açığına karşı uyardı

Drupal, Commerce Core modülündeki kritik bir yetki atlatma açığını kapatmaları için yöneticileri uyardı. Şirket, saldırganların açığı aktif olarak istismar ettiğini bildirdi.

CVE-2026-118539 olarak izlenen açık, yetkilendirme korumalarının eksikliğinden kaynaklanıyor. Drupal'ın duyurusuna göre, kimliği doğrulanmamış saldırganlar belirli rotalar ve varlık alanları üzerinden açıktan yararlanabilir; bu durum satıcılara mali zarar verebilir.

Açık, Commerce Core'un 0.0.0 ile 2.41 arasındaki ve 3.0.0 ile 3.3.13 arasındaki sürümlerini etkiliyor. Drupal'ın güvenlik ekibi, 3.x dalındaki yöneticileri hemen Commerce Core 3.3.13'e, eski sürümlerdekileri ise Commerce Core 8.x-2.41'e yükseltmeye çağırdı. Ekip ayrıca siparişlerin tutarsızlıklar açısından denetlenmesini önerdi.

Commerce Core, Drupal üzerinde e-ticaret siteleri ve alışveriş uygulamaları geliştirmek için topluluk tarafından geliştirilen bir modül. Fortune 500 şirketleri ve araştırma üniversiteleri dâhil 42.000'den fazla web sitesi tarafından kullanılıyor.

Drupal, modülün satışları yerleşik bir alışveriş sepeti ve ödeme formu üzerinden ya da API'ler aracılığıyla bağlantısız uygulamalardan desteklediğini söyledi. Duyuruya “yüksek derecede kritik” etiketi verildi.