Η ομάδα ασφαλείας του Drupal προειδοποίησε για το CVE-2026-118539, σφάλμα ελλιπούς ελέγχου εξουσιοδότησης στο module Commerce Core που εκμεταλλεύονται ήδη επιτιθέμενοι χωρίς λογαριασμό, όπως μεταδίδει το BleepingComputer. Επηρεάζονται οι εκδόσεις έως 2.41 και 3.0.0 έως 3.3.13, και το Drupal ζητά άμεση αναβάθμιση και έλεγχο των παραγγελιών για ασυνέπειες. Το module, που χρησιμοποιείται από πάνω από 42.000 ιστότοπους, δεν προστάτευε επαρκώς ορισμένες διαδρομές και πεδία, με πιθανή οικονομική ζημιά για τον πωλητή. Είναι η τρίτη σοβαρή ειδοποίηση για το Drupal μέσα σε λίγες εβδομάδες.

Τι σημαίνει: Η περιγραφή του Drupal, ότι το σφάλμα μπορεί να ζημιώσει οικονομικά τον πωλητή, σημαίνει στην πράξη ότι κάποιος μπορεί να αλλάξει στοιχεία παραγγελιών, τιμές ή καταστάσεις πληρωμής χωρίς να έχει δικαίωμα. Αυτού του είδους η επίθεση δεν φαίνεται πάντα αμέσως, γιατί το κατάστημα συνεχίζει να λειτουργεί κανονικά και η ζημιά εμφανίζεται στη συμφωνία των πληρωμών ή στις αποστολές. Γι' αυτό η σύσταση για έλεγχο των παραγγελιών είναι εξίσου σημαντική με την αναβάθμιση. Για ελληνικά ηλεκτρονικά καταστήματα σε Drupal, χρειάζεται σύγκριση των ποσών κάθε παραγγελίας με τα ποσά που πραγματικά εισπράχθηκαν από τον πάροχο πληρωμών για τις τελευταίες εβδομάδες, και αναζήτηση για παραγγελίες που άλλαξαν κατάσταση χωρίς αντίστοιχη συναλλαγή. Όσοι έχουν αναθέσει τη συντήρηση σε εξωτερικό συνεργάτη καλό είναι να ζητήσουν γραπτή επιβεβαίωση της έκδοσης. Η συχνότητα των πρόσφατων ειδοποιήσεων για το Drupal δείχνει ότι οι επιτιθέμενοι παρακολουθούν στενά την πλατφόρμα, οπότε ένα συμβόλαιο συντήρησης που προβλέπει εφαρμογή κρίσιμων ενημερώσεων μέσα σε ώρες είναι πλέον απαραίτητο και όχι πολυτέλεια.

Διαβάστε το πρωτότυπο στο BleepingComputer

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις