https://cyberveille.ch/tags/commerce-core/ Recent content in Commerce Core on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Wed, 11 Mar 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-03-11-drupal-commerce-core-vulnerabilite-critique-d-acces-bypass-activement-exploitee/ Wed, 11 Mar 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-03-11-drupal-commerce-core-vulnerabilite-critique-d-acces-bypass-activement-exploitee/ <h2 id="-contexte">🔍 Contexte</h2> <p>Le 28 octobre 2026, l&rsquo;équipe de sécurité Drupal a publié l&rsquo;avis de sécurité <strong>SA-CONTRIB-2026-254</strong> concernant le module <strong>Commerce Core</strong> (nom machine : <code>commerce</code>), utilisé pour la vente de biens et services via Drupal.</p> <h2 id="-vulnérabilité">⚠️ Vulnérabilité</h2> <ul> <li><strong>Type</strong> : Access bypass (contournement d&rsquo;accès)</li> <li><strong>Criticité</strong> : Highly critical — score <strong>21/25</strong> (AC:None/A:None/CI:Some/II:Some/E:Exploit/TD:All)</li> <li><strong>CVE</strong> : CVE-2026-118539</li> <li><strong>Versions affectées</strong> : <code>&lt; 2.41</code> et <code>&gt;= 3.0.0 &lt; 3.3.13</code></li> </ul> <p>Le module ne protège pas suffisamment certaines <strong>routes et champs d&rsquo;entités</strong>, permettant un contournement d&rsquo;accès susceptible d&rsquo;avoir un <strong>impact financier direct sur les vendeurs</strong>.</p>