CVE-2026-118539

اسم البرنامج المصاب والإصدارات المتأثرة Drupal Commerce Core الإصدارات من 0.0.0 إلى 2.41 Drupal Commerce Core الإصدارات من 3.0.0 إلى 3.3.13

الوصف تسمح ثغرة فقدان التفويض بالتصفح القسري وتجاوز التحكم في الوصول. ينبع هذا الخلل من الحماية غير الكافية للمسارات وحقول الكيانات، مما يسمح للمهاجمين غير المصرح لهم بتنفيذ إجراءات مميزة، وتعديل الطلبات، والوصول إلى بيانات دفع العملاء أو معلومات تحديد الهوية الشخصية (PII). يؤثر هذا الأمر على عربة التسوق، وعملية الدفع، ووظائف واجهة برمجة التطبيقات (API). ويُقدر أن أكثر من 42,000 عملية تثبيت قد تأثرت. هناك تأكيدات على وجود استغلال نشط لهذه الثغرة، بما في ذلك حالات طلبات احتيالية على مواقع حقيقية.

التوصيات تحديث Drupal Commerce Core الإصدارات من 0.0.0 إلى 2.41 إلى الإصدار 8.x-2.41. تحديث Drupal Commerce Core الإصدارات من 3.0.0 إلى 3.3.13 إلى الإصدار 3.3.13. تقييد الوصول إلى نقاط نهاية وحدة Commerce عبر قواعد WAF أو قوائم التحكم في الوصول (ACLs) للوكيل العكسي لتقليل مخاطر الاستغلال. مراجعة الطلبات وسجلات الدفع للبحث عن أي تناقضات أو تعديلات غير مصرح بها أو نتائج مالية غير متوقعة.