Saldirganlar Drupal Commerce Core'daki kritik yetkilendirme atlatma acigini aktif istismar ediyor

Drupal, cevrimici magaza altyapisi Commerce Core modulundeki yuksek onem seviyesindeki bir yetkilendirme atlatma acigin vahsi dogada istismar edildigi konusunda uyariyor. The Hacker News'in aktardigina gore CVE-2026-118539 olarak izlenen acik, Drupal uzerinde kurulu cevrimici magazalari calistiran bileseni etkiliyor ve e-ticaret verilerine ile islevlerine yetkisiz erisim riskini artiriyor.

Neler oldu?

The Hacker News, Drupal'in SA-CONTRIB-2026-254 olarak atifta bulunulan bir guvenlik duyurusu yayimladigini ve acigin aktif olarak istismar edildigini belirttigini aktariyor. Rapora gore Drupal, etkinligin niteligi veya kampanyanin kapsami hakkinda ayrinti vermedi. Makalenin yazildigi sirada bir CVSS puani mevcut degildi ve "N/A" olarak gosterildi.

Teknik detaylar

The Hacker News'e gore sorun bir yetkilendirme eksikligi zayifligidir: Drupal, modulun bazi rotalari ve varlik alanlarini yeterince korumadigini soyluyor. Commerce Core, sitelerin ya geleneksel bir alisveris sepeti ve odeme formu uzerinden ya da magazaya API'ler araciligiyla erisen ayrik (decoupled) uygulamalar uzerinden satis yapmasina olanak taniyor. Rapor, modulun siparisleri ve odemeyle ilgili akislari yonetmesi nedeniyle bu katmandaki bir erisim atlatmasinin etkilenen saticilar icin mali sonuclar dogurabilecegini belirtiyor. Makalede herhangi bir istismar teknigi ayrintili olarak anlatilmiyor.

Kimler etkileniyor?

The Hacker News, acigin Commerce Core'un 0.0.0'dan 2.41'e ve 3.0.0'dan 3.3.13'e kadar olan surumlerini etkiledigini belirtiyor. Drupal, bulgunun kesfi icin arastirmacilar Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder'a (rsnyd) tesekkur ediyor. Cevrimici mal veya hizmet satmak icin savunmasiz bir Commerce Core surumu calistiran her site, acik aktif olarak istismar edilirken kendisini risk altinda saymali.

Ne yapmali?

Rapor, duzeltmelerin mevcut oldugunu belirtiyor ve gecikmeden yukseltme yapilmasini oneriyor. 3.x dalindaki siteler Commerce Core 3.3.13 surumune, daha eski kurulumlar ise Commerce Core 8.x-2.41 surumune gecmeli. The Hacker News herhangi bir gecici onlem listelemedigi icin duzeltilen surume guncelleme yapmak birincil savunma. Magaza operatorleri, Drupal istismari dogrulasa da kapsamini ayrintilandirmadigi icin siparislere, musteri kayitlarina veya yonetici rotalarina yetkisiz erisim belirtileri acisindan gunluklerini de incelemeli.