Drupal advierte sobre una vulnerabilidad crítica en Commerce Core que ha sido explotada en ataques.

Drupal advirtió a los administradores sobre la necesidad de corregir una vulnerabilidad crítica de omisión de acceso en el módulo Commerce Core, que está siendo explotada por atacantes.

Identificada como CVE-2026-118539, esta vulnerabilidad se debe a una falta de autorización que puede ser aprovechada por atacantes no autenticados y afecta a las versiones de Commerce Core de la 0.0.0 a la 2.41 y de la 3.0.0 a la 3.3.13.

El equipo de seguridad de Drupal solicitó a los administradores de la rama 3.x que actualicen inmediatamente a Commerce Core 3.3.13 (o a Commerce Core 8.x-2.41 para versiones anteriores) y que revisen los pedidos en busca de inconsistencias, ya que los ciberdelincuentes están explotando esta vulnerabilidad en sus ataques.

"Este módulo permite vender bienes y servicios a los clientes mediante un carrito de compras y un formulario de pago integrados, o mediante aplicaciones independientes a través de API", indicó Drupal en un aviso publicado el miércoles, clasificado como de alta criticidad.

El módulo no protege adecuadamente ciertas rutas y campos de entidad, lo que permite eludir el acceso y podría tener un impacto financiero en el proveedor. Esta vulnerabilidad está siendo explotada activamente.

Commerce Core es un módulo de Drupal desarrollado por la comunidad y utilizado por más de 42 000 sitios web, incluyendo numerosas organizaciones de alto perfil, como empresas de la lista Fortune 500 y universidades de investigación.

El módulo proporciona un marco de software para crear y gestionar sitios de comercio electrónico y aplicaciones de compra sobre el sistema de gestión de contenidos (CMS) Drupal.