CVE-2026-118543

Nome do Software Vulnerável e Versões Afetadas Drupal Commerce Core versões 0.0.0 a 2.41.0 Drupal Commerce Core versões 3.0.0 a 3.3.13

Descrição O Cross-Site Request Forgery (CSRF) ocorre quando um usuário é enganado para realizar uma ação que não pretendia. Neste caso, as rotas para a caixa de entrada não verificam tokens CSRF. Um invasor pode enganar um usuário com a permissão "access commerce administration pages" para visitar uma página maliciosa que descarta as notificações. Como a caixa de entrada é compartilhada, essa ação oculta as mensagens, incluindo avisos de atualizações de segurança, para todos os administradores.

Recomendações Atualize o Drupal Commerce Core versões 0.0.0 a 2.41.0 para uma versão posterior à 2.41.0. Atualize o Drupal Commerce Core versões 3.0.0 a 3.3.13 para uma versão posterior à 3.3.13.