CVE-2026-118539
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Podatność Missing Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41 oraz od 3.0.0 do 3.3.13.
Ocena ryzyka
Brak autoryzacji może pozwolić nieuprawnionym użytkownikom na dostęp do chronionych zasobów, co może prowadzić do naruszenia poufności. Ryzyko dotyczy organizacji korzystających z podatnych wersji Commerce Core.
Rekomendacja
Zaktualizuj moduł Drupal Commerce Core do wersji nowszej niż 2.41 lub 3.3.13. Sprawdź, czy nie ma oznak nieautoryzowanego dostępu.
Inne podatności w Drupal Commerce Core
Zobacz wszystkie- CVE-2026-118544Niskie ryzyko· EPSS 4%
Podatność Exposure of Sensitive Information Through Data Queries w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118543Niskie ryzyko· EPSS 2%
Podatność Cross-Site Request Forgery (CSRF) w module Drupal Commerce Core pozwala na wykonanie nieautoryzowanych akcji w imieniu zalogowanego użytkownika. Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118542Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118541Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41.0 oraz od 3.0.0 do 3.3.13.
- CVE-2026-118540Niskie ryzyko· EPSS 4%
Podatność Incorrect Authorization w module Drupal Commerce Core umożliwia wymuszone przeglądanie (Forceful Browsing). Problem dotyczy wersji od 0.0.0 do 2.41 oraz od 3.0.0 do 3.2.0.
- CVE-2026-10769Średnie
W Drupal Commerce Core wykryto podatność na trwały atak XSS (Stored Cross-Site Scripting) spowodowany niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka dotyczy wersji od 3.3.0 do 3.3.6.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Drupal Commerce Core allows Forceful Browsing. This issue affects Commerce Core versions: from 0.0.0 to 2.41, from 3.0.0 to 3.3.13.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS