آسیب‌پذیری بحرانی با شناسه CVE-2026-118539 در ماژول Commerce Core پلتفرم Drupal شناسایی شده است که ناشی از نقص در کنترل مجوزهای دسترسی (Missing Authorization) به مسیرها و فیلدهای اطلاعاتی است. این ضعف به مهاجمان فاقد احراز هویت امکان می‌دهد کنترل‌های دسترسی را دور زده و اطلاعات یا جزئیات سفارش‌های فروشگاه را دست‌کاری کنند؛ در نتیجه، امکان ثبت سفارش‌های غیرمجاز و دریافت کالا یا خدمات بدون پرداخت کامل وجود دارد. این آسیب‌پذیری در حملات واقعی بهره‌برداری شده و می‌تواند خسارات مالی و اختلال در فعالیت فروشگاه‌های سازمانی را به دنبال داشته باشد.
راهکارهای مقاوم‌سازی
- به‌روزرسانی Commerce Core به نسخه 3.3.13 یا 8.x-2.41 متناسب با شاخه نصب‌شده.
- به‌روزرسانی ماژول‌های جانبی Commerce API ، Commerce License ، Commerce Shipping و Commerce Stripe.
- بازبینی و بررسی سفارش‌های ثبت‌شده به‌منظور شناسایی تراکنش‌های غیرمجاز و مغایرت‌های مالی.
- اعمال کنترل دسترسی و اعتبارسنجی مجوزها در تمامی مسیرها و فیلدهای اطلاعاتی.
- محدودسازی دسترسی به APIهای فروشگاه و پایش درخواست‌های غیرعادی و تراکنش‌های مشکوک.