Drupal confirmó que una falla de omisión de acceso en Commerce Core está siendo explotada de forma activa y pidió a los administradores de tiendas actualizar las versiones afectadas y revisar los pedidos existentes. La advertencia fue difundida el 28 de octubre de 2026 y quedó recogida también en una publicación en X de Drupal.

La vulnerabilidad afecta a Commerce Core en dos ramas

El aviso SA-CONTRIB-2026-254 identifica el problema como CVE-2026-118539 y lo clasifica como altamente crítico, con una puntuación de 21 sobre 25. Drupal señala que la falla surge por controles de acceso insuficientes en determinadas rutas y campos de entidades.

Según la alerta, el error puede permitir accesos no autorizados con consecuencias financieras para vendedores. El documento no identifica sitios comprometidos ni cuantifica pérdidas, pero sí advierte que la explotación ya está ocurriendo.

Las versiones afectadas son las anteriores a 8.x-2.41 de Commerce 2.x y la rama 3.x desde 3.0.0 hasta 3.3.12. Drupal recomienda instalar Commerce Core 8.x-2.41 o 3.3.13, según la rama utilizada, y auditar los pedidos existentes para detectar inconsistencias.

Un lote de 39 avisos cubre 21 proyectos

La publicación del 28 de octubre reúne 39 avisos de seguridad para 21 proyectos: uno altamente crítico, 11 críticos, 24 moderadamente críticos y tres de menor criticidad. Drupal aclara que esas categorías no significan el mismo nivel de facilidad de explotación ni que todos los problemas estén siendo usados en ataques.

Dentro de ese lote, 12 avisos están vinculados con Commerce Core, Commerce Stripe, Commerce Shipping y Commerce License, aunque cada uno describe riesgos distintos. Uno de los más delicados para pagos aparece en Commerce Stripe, donde se describe una falsificación de solicitud entre sitios en el flujo de autorización de Stripe Connect.

En ese escenario, un atacante podría inducir a un administrador a abrir un enlace manipulado y lograr que un pedido aparezca como pagado sin que el pago exista. El fallo afecta a Commerce Stripe 2.0.0 a 2.2.2 y se corrige en 2.2.3; la rama 8.x-1.x no está afectada por esa vulnerabilidad concreta.

Commerce License también recibió una corrección por una restricción insuficiente sobre cambios en campos de licencias para usuarios con el permiso update own commerce_license. Si ese permiso se explota, la alerta indica que podrían alterarse derechos asociados a la licencia y escalar privilegios hasta administrador; la corrección está en Commerce License 3.1.1.

Commerce Shipping, por su parte, recibió correcciones independientes en las versiones 8.x-2.16 y 3.0.6. Drupal insiste en que actualizar un componente no sustituye la revisión de los demás módulos instalados en una tienda.

También hay fallas críticas en sincronización, IA y acceso

Dos avisos críticos de Single Content Sync describen riesgos que podrían desembocar en ejecución remota de código. Uno se relaciona con la deserialización insegura del contenido importado y el otro con la validación insuficiente de fuentes y destinos de archivos, con posibilidad de escrituras arbitrarias, divulgación de archivos locales o solicitudes iniciadas desde el servidor.

Ambas vulnerabilidades requieren el permiso import single content. En el caso del manejo de archivos, la ejecución de código depende además de que el servidor permita ejecutar archivos controlados por el atacante. La versión 1.4.19 corrige los problemas.

El proyecto AI acumuló ocho avisos que abarcan secuencias de comandos entre sitios, divulgación de información y omisión de acceso, entre otros problemas de contenido y permisos. Una vulnerabilidad crítica, CVE-2026-118549, se debe a una validación insuficiente de enlaces Markdown bajo ciertas condiciones, y las correcciones para ramas con soporte están en AI 1.4.11 y 1.5.2.

Drupal también advierte sobre AI Search, donde ciertos resultados de vistas de Search API almacenados en caché podrían revelar títulos y campos visibles de contenido no publicado o restringido. Ese riesgo solo aparece bajo condiciones específicas de configuración y uso: la vista debe tener el caché de resultados habilitado y debe existir una búsqueda previa de un usuario autorizado.

Alertas en autenticación y módulos sin soporte

El lote incluye fallas de autenticación en dos proyectos de inicio de sesión. En OAuth Login – OAuth OIDC SSO, un atacante podría iniciar sesión como un usuario existente cuya dirección de correo conozca, siempre que tenga una cuenta ante un proveedor de identidad configurado y pueda controlar un atributo que ese proveedor devuelve; la corrección está en 3.1.1.

Por separado, OpenID Connect Client podría permitir la toma de control de cuentas cuando el proveedor de identidad no verifica las direcciones de correo y el módulo vincula automáticamente una identidad nueva con una cuenta existente. La versión 2.3.1 deshabilita por defecto esa vinculación de nuevas identidades.

Drupal también marcó como sin soporte a CacheFlush, PayUmoney for Drupal Commerce y GroupEx PRO integration porque sus mantenedores no corrigieron problemas de seguridad conocidos. El equipo recomienda desinstalarlos en lugar de esperar nuevas actualizaciones.