Drupal Commerce Core’daki yüksek riskli yetkilendirme atlama açığı, saldırganların aktif istismarına açık durumda. CVE-2026-118539 olarak izlenen hata, Commerce Core’un 0.0.0 ile 2.41 arasındaki ve 3.0.0 ile 3.3.13 arasındaki sürümlerini etkiliyor.
Güvenlik kaydında CVSS puanı henüz paylaşılmadı. Açığın kökeninde, modülün bazı işlemlerde yetkilendirme kontrolünü eksik uygulaması yer alıyor. Böylece erişim sınırlarının doğru kurulmadığı senaryolarda saldırganlar, normalde yetkisiz kalması gereken işlemleri tetikleyebiliyor.
Mağaza ve ödeme işlevlerini etkileyen hata
Drupal Commerce Core, site sahiplerine ürün ve hizmet satışı için yerleşik bir alışveriş sepeti altyapısı sunuyor. Bu nedenle açık, yalnızca kurumsal Drupal kurulumlarını değil, e-ticaret ve dijital satış işlevi kullanan siteleri de ilgilendiriyor. Etkilenen sürüm aralığı geniş olduğu için, bileşeni uzun süredir güncellemeden kullanan kurulumlarda risk daha belirgin hale geliyor.
Sorun, çekirdek modülde gerekli yetkilendirme denetiminin eksik olmasından kaynaklanıyor. Araştırmacılar, saldırganların bu zayıflığı kullanarak erişim kontrolünü aşabildiğini ve ilgili işlem akışlarını istismar edebildiğini belirtiyor. Aktif istismar bulgusu da açığın teorik bir hata olmaktan çıkıp sahada kullanıldığını gösteriyor.
Kayıt altına alınan açık için NVD sayfası şu adreste yer alıyor: https://nvd.nist.gov/vuln/detail/CVE-2026-118539. Drupal Commerce kullanan ekipler, etkilenen sürüm aralığını kontrol ederek çekirdek bileşen güncellemelerini hızlandırıyor. Açık, alışveriş sepeti üzerinden satış yapan kurulumlarda yetkilendirme akışının yeniden gözden geçirilmesini gerektiriyor.