PT-2026-130574
CVE-2026-118544
·
Publicado
2026-10-28
·
Atualizado
2026-10-30
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Drupal Commerce Core versões 0.0.0 a 2.41.0
Drupal Commerce Core versões 3.0.0 a 3.3.13
Description
Existe um problema onde o módulo não restringe suficientemente as variações de produtos retornadas por consultas de entidade àquelas que o usuário atual tem permissão para visualizar. Quando o módulo core JSON:API está habilitado, um invasor pode realizar a navegação forçada fazendo requisições repetidas para determinar valores de campos de variações de produtos não publicados ou variações de produtos não publicados.
Recommendations
Atualize o Drupal Commerce Core versões 0.0.0 a 2.41.0 para uma versão posterior à 2.41.0.
Atualize o Drupal Commerce Core versões 3.0.0 a 3.3.13 para uma versão posterior à 3.3.13.
Desabilite o módulo core JSON:API para mitigar o risco de exploração.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾