CVE-2026-10769
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W Drupal Commerce Core wykryto podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowany niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka dotyczy wersji od 3.3.0 do 3.3.6.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub wycieku danych.
Rekomendacja
Należy niezwłocznie zaktualizować Drupal Commerce Core do wersji 3.3.7 lub nowszej, która zawiera poprawkę eliminującą podatność.
Inne podatności w Drupal Commerce Core
Zobacz wszystkie- CVE-2026-118544Niskie ryzyko· EPSS 4%
Podatność Exposure of Sensitive Information Through Data Queries w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118543Niskie ryzyko· EPSS 2%
Podatność Cross-Site Request Forgery (CSRF) w module Drupal Commerce Core pozwala na wykonanie nieautoryzowanych akcji w imieniu zalogowanego użytkownika. Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118542Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118541Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118540Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41 oraz od 3.0.0 do 3.2.0.
- CVE-2026-118539Średnie
Podatność Missing Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41 oraz od 3.0.0 do 3.3.13.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ("Cross-site Scripting") vulnerability in Drupal Commerce Core allows Stored XSS. This issue affects Commerce Core versions: from 3.3.0 to 3.3.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS