CVE-2026-118541

Nome do Software Vulnerável e Versões Afetadas Drupal Commerce Core versões 0.0.0 a 2.41.0 Drupal Commerce Core versões 3.0.0 a 3.3.13

Descrição Um problema de autorização incorreta permite a navegação forçada. O módulo não verifica adequadamente o acesso à relação entre promoções e cupons. Consequentemente, um usuário autorizado apenas a gerenciar suas próprias promoções pode modificar ou excluir cupons associados a outras promoções. Este problema é mitigado se o site não permitir gravações via JSON:API ou REST, que vêm desativados por padrão.

Recomendações Atualize o Drupal Commerce Core versões 0.0.0 a 2.41.0 para uma versão posterior à 2.41.0. Atualize o Drupal Commerce Core versões 3.0.0 a 3.3.13 para uma versão posterior à 3.3.13. Desative as gravações via JSON:API ou REST para mitigar o risco.