PT-2026-130571
CVE-2026-118541
·
Publicado
2026-10-28
·
Atualizado
2026-10-30
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Drupal Commerce Core versões 0.0.0 a 2.41.0
Drupal Commerce Core versões 3.0.0 a 3.3.13
Descrição
Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.
Recomendações
Atualize o Drupal Commerce Core versões 0.0.0 a 2.41.0 para uma versão posterior à 2.41.0.
Atualize o Drupal Commerce Core versões 3.0.0 a 3.3.13 para uma versão posterior à 3.3.13.
Desative as gravações via JSON:API ou REST para mitigar o risco.
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾