CVE-2026-118539路由及实体字段访问绕过
访问检查不足可能造成商户财务损失，已确认遭利用。
Drupal Commerce 修复六项漏洞，其中访问绕过漏洞已遭利用
Drupal 确认 Commerce Core 路由及字段访问绕过漏洞 CVE-2026-118539 已遭利用。10 月 28 日批次修复六项漏洞，应升级至 3.3.13 或 8.x-2.41，并审计订单异常。
- 披露时间
- 2026年10月28日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 本页收录 6 个 CVE
- 波及范围
- 低于 2.41 或处于 3.0.0–3.3.12 的 Drupal Commerce Core；已遭利用的漏洞无需登录
- php
- 在野利用
- 已发现
- Drupal 确认 CVE-2026-118539 遭在野利用，不代表批次内所有漏洞均遭利用。
发生了什么
已遭利用的漏洞无需登录，影响 Commerce Core，并非 Drupal core。此处将同一发布批次的另外五项公告合并记录。公告未提供受害者数量或静态指标。L4 依据已确认的利用情况；其余漏洞的权限及配置前提各不相同。
马桶里有什么
CVE-2026-118540未发布变体泄露
JSON:API 可暴露已发布产品的未发布变体。Commerce 3.3.x 不受这一特定漏洞影响。
CVE-2026-118541跨促销优惠券变更
启用 JSON:API 或 REST 写入时，只能管理自身促销的用户也可更改其他促销的优惠券。
CVE-2026-118542默认商店访问绕过
拥有创建商店或编辑自身商店权限的不可信用户，可修改默认商店并接收其他订单。
CVE-2026-118543Commerce 收件箱 CSRF
恶意页面可诱导商店管理员关闭共享通知，包括安全更新通知。
CVE-2026-118544变体字段推断
反复执行 JSON:API 查询可泄露访问者无权查看的产品变体字段。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Commerce Core 3.x | 3.3.13 | |
| Commerce Core 8.x-2.x | 8.x-2.41 |
案发时间线
2026年10月28日
发布六项 Commerce Core 公告及修复
SA-CONTRIB-2026-254 确认漏洞遭利用，并建议审计订单。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。