צוות האבטחה של Drupal פרסם התראה על פגיעות עקיפת הרשאות במודול המסחר Commerce Core, ומציין שהיא מנוצלת בפועל. הדחיפות גבוהה לכל מי שמפעיל חנות על Drupal Commerce.
מה קרה
לפי ההתראה, המודול אינו מגן מספיק על נתיבים (routes) ועל שדות של ישויות, כך שניתן לעקוף את בדיקת ההרשאות. ההשלכה לפי Drupal היא פגיעה כספית אפשרית בבעל החנות. Drupal מסווגת את הפגיעות כ"קריטית ביותר" (highly critical); ציון CVSS לא פורסם. היקף הניצול ופרטי הקמפיין לא פורסמו.
| מזהה | CVE-2026-118539 |
| מוצר וגרסאות מושפעות | Commerce Core עד 2.41 ובטווח 3.0.0 עד 3.3.13 (כפי שדווח; אמתו מול ההתראה הרשמית) |
| חומרה | "קריטית ביותר" לפי Drupal; ציון CVSS: לא פורסם |
| מנוצל בפועל | כן, לפי Drupal |
| סטטוס תיקון | קיימות גרסאות מתוקנות בענפים 2.x ו-3.x |
נקודות לשים לב
- פתח את ההתראה SA-CONTRIB-2026-254 באתר Drupal ואמת מולה את הגרסה המתוקנת המדויקת לענף שלך לפני השדרוג.
- בדוק את הגרסה המותקנת (למשל
composer show drupal/commerce) והשווה לטווחים המושפעים. - מאחר שהניצול מדווח כמתבצע בפועל, עבור על הזמנות, תשלומים ושינויים בישויות מסחר בימים האחרונים וחפש חריגות. לא פורסמו אינדיקטורים ידועים.
- לא צוין workaround; השדרוג הוא הפתרון המוצע.
מקורות: Drupal Security Advisory · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
