PT-2026-130587

CVE-2026-118558

Publicado

2026-10-28

Atualizado

2026-10-30

Descrição por

CVSS 3.1

7.3

Alta

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Drupal Commerce Stripe versões 2.0.0 a 2.2.3

Descrição Um problema de Cross-Site Request Forgery (CSRF) existe no módulo utilizado para integração com a API Stripe Connect. Ao redirecionar para o Stripe Connect para gerar um código de autorização, o módulo não inclui um token CSRF na URI de retorno. Isso permite que um invasor engane um administrador para clicar em um link que ignora o processo de pagamento, resultando em pedidos marcados como pagos sem que o pagamento real tenha sido processado.

Recomendações Atualize o Drupal Commerce Stripe para uma versão posterior à 2.2.3.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores