کمیته رکن چهارم– Drupal هشدار داده مهاجمان در حال سوءاستفاده از یک نقص مهم در ماژول فروشگاهی Commerce Core هستند. این مشکل می‌تواند کنترل دسترسی را دور بزند و به فروشنده زیان مالی وارد کند.
به گزارش کمیته رکن چهارم، اطلاعیه رسمی ۲۸ اکتبر ۲۰۲۶، نقص CVE-2026-118539 را با سطح خطر «بسیار بحرانی» معرفی کرده است. Commerce Core امکاناتی مانند سبد خرید، پرداخت و دسترسی برنامه‌ها به خدمات فروشگاه را فراهم می‌کند.
طبق توضیح Drupal، برخی مسیرها و فیلدهای اطلاعاتی این ماژول به‌اندازه کافی محافظت نمی‌شوند و امکان دسترسی غیرمجاز ایجاد می‌شود. جزئیات روش حملات و تعداد فروشگاه‌های متأثر اعلام نشده است؛ بنابراین نمی‌توان دامنه خسارت را برآورد کرد.
نسخه‌های شاخه ۲ پیش از ۲.۴۱ و نسخه‌های شاخه ۳ از ۳.۰.۰ تا پیش از ۳.۳.۱۳ آسیب‌پذیرند. برای شاخه ۳ باید Commerce Core 3.3.13 و برای نسخه‌های قدیمی‌تر، بسته ۸.x-2.41 نصب شود.
Drupal علاوه بر نصب اصلاحیه، بررسی سفارش‌ها برای یافتن ناسازگاری را ضروری دانسته است، زیرا سوءاستفاده واقعی تأیید شده است. توصیه تحریریه این است که مدیران فروشگاه پس از به‌روزرسانی، سفارش‌ها و تغییرات غیرمنتظره را بازبینی و موارد مشکوک را برای بررسی نگه دارند.
منبع: Drupal
