Impatto Sistemico

Critico (75.0)

Sintesi

È stato rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-118539 – già sanata dal vendor – presente in Drupal Commerce Core, modulo dedicato all’implementazione di funzionalità di commercio elettronico per la vendita di beni e servizi tramite carrello acquisti, checkout integrato e applicazioni basate su API.

Tipologia

• Security Restrictions Bypass
• Information Disclosure

Descrizione e potenziali impatti

Rilevato lo sfruttamento attivo in rete della CVE-2026-118539 – di tipo “Missing Authorization” e con score CVSS v3.1 pari a 6.5 – presente nel modulo Drupal Commerce Core. Tale vulnerabilità è dovuta a meccanismi di sicurezza non adeguati che interessano specifiche route e campi delle entità applicative. Un attaccante potrebbe sfruttare la vulnerabilità al fine di eludere i controlli di autorizzazione e ottenere l’accesso ad informazioni sensibili sui sistemi interessati.

Prodotti e/o versioni affette

Drupal Commerce Core

• versioni precedenti alla 2.41
• 3.x, versioni precedenti alla 3.3.13

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili seguendo le indicazioni presenti nel bollettino di sicurezza riportato nella sezione Riferimenti.