A Drupal szerint már kihasználják a Commerce Core jogosultsági hibáját
Pénzügyi kárt is okozhat az eladóknak a Drupal webáruházmoduljának hibája, amelyet a projekt figyelmeztetése szerint már aktívan kihasználnak. A sérülékenység közepes CVSS-pontszámot kapott, de ez nem jelenti azt, hogy a támadók ne élnének vissza vele.
Fontos
Aktívan kihasznált, kritikus: CVSS 9.8
A hiányzó ellenőrzés webáruházakat érint
A CVE-2026-118539 azonosítójú hiba a Drupal Commerce Core modult érinti. A modul bevásárlókosárral és pénztári űrlappal, illetve API-kon keresztül teszi lehetővé termékek és szolgáltatások értékesítését.
A Drupal figyelmeztetése szerint a modul bizonyos útvonalakat és adatmezőket nem véd megfelelően. A hiányzó jogosultság-ellenőrzés miatt megkerülhető a hozzáférés védelme, ami pénzügyi következményekkel járhat az eladóra nézve. A projekt fenntartói megerősítették, hogy a hibát már ténylegesen kihasználják.
A sérülékenység 6,5-ös, közepes CVSS-pontszámot kapott. Ez a mérőszám a hiba műszaki súlyosságát jelzi egy 0-tól 10-ig terjedő skálán; önmagában nem mutatja meg, hogy kihasználják-e.
Ezeket a kiadásokat ajánlja a Drupal
A Drupal azt javasolja, hogy az érintettek frissítsenek a legújabb elérhető kiadásra. A 3.x ágon a 3.3.13-as verziót, a korábbi kiadásokat használóknak a Commerce Core 8.x-2.41-es változatát ajánlja.
A sérülékenység leírása ugyanakkor a 0.0.0-tól 2.41-ig, illetve a 3.0.0-tól 3.3.13-ig terjedő verziókat nevezi érintettként. A megadott tartományok végpontjai így egybeesnek az ajánlott kiadások verziószámaival.
Egy korábbi Drupal-hiba a CISA listáján is szerepel
A mostani modulhibától különálló sérülékenység a CVE-2026-9082, amelyet a Drupal májusi figyelmeztetése szerint szintén kihasználtak. Ez a Drupal core adatbáziskezelését érinti: a hiba magasabb jogosultság megszerzését, érzékeny adatok elérését és távoli kódfuttatást is lehetővé tehet.
A korábbi hiba 9,8-as, kritikus CVSS-pontszámot kapott, és a CISA felvette a ténylegesen kihasznált sérülékenységeket tartalmazó KEV-listájára.
A cikk mesterséges intelligencia segítségével készült; a szerkesztőség ellenőrizte és jóváhagyta. Impresszum