Retour

Drupal Annonce que la Vulnérabilité de Commerce Core Est Exploitée

Bureau de lite News 1 min de lecture

Une vulnérabilité dans Drupal Commerce Core est actuellement exploitée, selon l'avis de sécurité de Drupal SA-CONTRIB-2026-254, daté du 28 octobre 2026. L'avis identifie le défaut de contournement d'accès comme CVE-2026-118539 et lui attribue une classification hautement critique, avec un score de risque de sécurité de 21 sur 25.

Commerce Core prend en charge la vente de biens et de services à l'aide d'un panier et d'un formulaire de commande, ainsi que les ventes via des applications liées par des API, selon Drupal. L'avis décrit une protection inadéquate de certaines routes et champs d'entité. Il indique que le contournement d'accès résultant peut avoir des conséquences financières pour un vendeur.

Les versions affectées se répartissent en deux groupes dans l'avis de Drupal : les versions de Commerce Core inférieures à 2.41, et la plage commençant à 3.0.0 et se terminant avant 3.3.13. Cette dernière limite exclut 3.3.13 des versions affectées listées.

Le Centre canadien pour la cybersécurité a également abordé la vulnérabilité dans l'avis AV26-1105, publié le 30 octobre 2026. L'agence a déclaré que les rapports open-source indiquaient que le défaut de Commerce Core était exploité.

Pour les sites utilisant la série 3.x de Commerce Core, Drupal identifie la version 3.3.13 comme la mise à jour à installer. Ses recommandations dirigent les sites utilisant une version antérieure vers 8.x-2.41. En parallèle de ces mises à jour, Drupal recommande de vérifier les commandes pour identifier des incohérences.

* Cet article est basé sur des informations publiquement disponibles au moment de la rédaction.

Plus d’articles de Cybersécurité

  1. Apple indique que l'exploitation signalée était extrêmement sophistiquée et concernait des cibles sélectionnées utilisant des versions d'iOS antérieures à iOS 27.

  2. La faille affecte les données Brotli traitées par le module zlib de Node.js, avec des plantages, des divulgations de mémoire ou une exécution de code possibles pour des entrées fournies par un attaquant.

  3. Un incident cybernétique a impacté les services dans le comté de Neshoba, avec des perturbations signalées concernant les e-mails et les sites web, selon les mises à jour de l'entreprise.

  4. Une cyberattaque a commencé le 13 octobre 2026, ciblant plus de 100 domaines d'État azerbaïdjanais, perturbant les ressources en ligne du gouvernement, selon le CERT.

  5. Les régulateurs augmentent la surveillance des risques liés à l'IA dans le secteur bancaire. Les délais de conformité pour les menaces cybernétiques sont fixés à octobre 2026, selon des rapports.