CVE-2026-118539: Missing Authorization in Drupal Commerce Core

Missing Authorization in Commerce Core consente navigazione non autorizzata. Aggiorna a versioni 2.41 o 3.3.13.

Il CVE-2026-118539 è una vulnerabilità di Missing Authorization in Drupal Commerce Core, il modulo ecommerce della piattaforma Drupal. Consente il forceful browsing verso risorse protette senza autorizzazione esplicita. Le versioni interessate sono da 0.0.0 a 2.41 (branch legacy) e da 3.0.0 a 3.3.13 (branch current).

Il punteggio CVSS non è riportato negli archivi ufficiali. Una Missing Authorization in un modulo ecommerce rappresenta un rischio concreto per la riservatezza e l'integrità dei dati di clienti e ordini. La vulnerabilità è stata pubblicata il 30 ottobre 2026 e sta generando attenzione online: sono stati registrati circa 20 post su X/Twitter nelle ultime 24 ore. Non sono segnalati exploit pubblici confermati secondo le fonti verificate.

Aggiorna immediatamente Drupal Commerce Core alla versione 2.41 (branch legacy) o 3.3.13 (branch current). Dopo l'aggiornamento, esegui un audit dei registri di accesso per verificare se utenti non autorizzati hanno navigato verso risorse protette. Verifica che le restrizioni di autorizzazione siano correttamente configurate. Se non puoi aggiornare immediatamente, monitora il traffico anomalo verso risorse protette.

In sintesi

Cosa: Missing Authorization in Drupal Commerce Core consente il forceful browsing verso risorse protette senza autorizzazione esplicita.
Gravità: Punteggio CVSS non riportato. Per tipo, è una Missing Authorization in modulo ecommerce: impatto significativo su confidenzialità e integrità.
Versioni interessate: Commerce Core da 0.0.0 a 2.41 (branch legacy); Commerce Core da 3.0.0 a 3.3.13 (branch current).
Correzione: Aggiorna a Commerce Core versione 2.41 (legacy) o 3.3.13 (current). Esegui audit dei registri di accesso dopo l'aggiornamento.
Stato: Pubblicata il 30 ottobre 2026. Nessun exploit pubblico confermato nelle fonti verificate. Segnali di attenzione online: circa 20 post in 24 ore.
Azione: Aggiorna il modulo prioritariamente, verifica i registri per accessi non autorizzati a risorse protette, monitora il traffico anomalo.

Fonti: NVD, CVE-2026-118539

← Tutti gli articoli