CVE-2026-118539

Nome do Software Vulnerável e Versões Afetadas Drupal Commerce Core versões 0.0.0 a 2.41 Drupal Commerce Core versões 3.0.0 a 3.3.13

Descrição Uma falha de autorização ausente permite a navegação forçada e a evasão de controle de acesso. A falha decorre da proteção insuficiente de rotas e campos de entidade, permitindo que invasores não autenticados executem ações privilegiadas, manipulem pedidos e acessem dados de pagamento de clientes ou informações de identificação pessoal (PII). Este problema afeta o carrinho de compras, o checkout e a funcionalidade de API. Estima-se que mais de 42.000 implantações sejam afetadas. Existem confirmações de exploração ativa, incluindo instâncias de pedidos fraudulentos em sites reais.

Recomendações Atualize o Drupal Commerce Core versões 0.0.0 a 2.41 para a versão 8.x-2.41. Atualize o Drupal Commerce Core versões 3.0.0 a 3.3.13 para a versão 3.3.13. Restrinja o acesso aos endpoints do módulo Commerce via regras de WAF ou ACLs de proxy reverso para minimizar o risco de exploração. Audite os pedidos e registros de checkout em busca de inconsistências, modificações não autorizadas ou resultados financeiros inesperados.