یک آسیب‌پذیری امنیتی با درجه اهمیت بسیار بالا در ماژول Drupal Commerce Core شناسایی شده که طبق هشدار رسمی تیم Drupal، مهاجمان هم‌اکنون در حال سوءاستفاده فعال از آن هستند.
این آسیب‌پذیری با شناسه CVE-2026-118539 ثبت شده و از نوع Missing Authorization است؛ به این معنا که برخی مسیرهای دسترسی و فیلدهای موجودیت‌ها در ماژول Commerce Core به‌درستی در برابر دسترسی‌های غیرمجاز محافظت نمی‌شوند.
در نتیجه، مهاجمان می‌توانند با دور زدن کنترل‌های دسترسی، به بخش‌هایی از عملکرد فروشگاه دسترسی پیدا کنند که نباید برای آن‌ها مجاز باشد. به گفته تیم Drupal، این نقص می‌تواند پیامدهای مالی برای کسب‌وکارهای آسیب‌دیده به همراه داشته باشد.
نسخه‌های آسیب‌پذیر کدام‌اند؟
بر اساس اطلاعیه امنیتی Drupal، نسخه‌های زیر تحت تأثیر این آسیب‌پذیری قرار دارند:
-
تمام نسخه‌های پایین‌تر از
2.41در شاخه قدیمی. -
نسخه‌های
3.0.0تا قبل از3.3.13در شاخه جدید.
راهکار رفع آسیب‌پذیری
تیم Drupal انتشار نسخه‌های اصلاح‌شده را توصیه کرده است:
-
شاخه 3.x: ارتقا به
3.3.13 -
شاخه قدیمی: ارتقا به
8.x-2.41
همچنین به مدیران وب‌سایت‌هایی که از این ماژول استفاده می‌کنند توصیه شده است سفارش‌های ثبت‌شده را از نظر تغییرات و مغایرت‌های غیرعادی بررسی کنند؛ زیرا این آسیب‌پذیری پیش‌تر مورد سوءاستفاده مهاجمان قرار گرفته است.
Drupal.org+1
نکته امنیتی: اهمیت این آسیب‌پذیری صرفاً به یک نقص در کنترل دسترسی محدود نمی‌شود؛ در فروشگاه‌های اینترنتی، دستکاری اطلاعات سفارش‌ها و داده‌های مرتبط با تراکنش‌ها می‌تواند پیامدهای مالی مستقیمی داشته باشد. بنابراین به‌روزرسانی ماژول باید در اولویت مدیران سایت‌های مبتنی بر Drupal Commerce قرار بگیرد.
منابع:
دیدگاهتان را بنویسید
برای نوشتن دیدگاه باید وارد بشوید.