Por Canuto  

El equipo de seguridad de Drupal confirmó explotación activa de una falla de omisión de acceso en Commerce Core y pidió actualizar las versiones afectadas y auditar los pedidos. La alerta forma parte de un lote de 39 avisos que también incluye problemas en módulos de pagos, IA, autenticación y proyectos sin soporte.
***

  • La vulnerabilidad CVE-2026-118539 afecta versiones de Commerce Core anteriores a 8.x-2.41 y a la rama 3.x hasta 3.3.12; el equipo recomienda instalar las versiones corregidas y revisar los pedidos existentes.
  • El lote publicado el 28 de octubre reúne 39 avisos para 21 proyectos: uno altamente crítico, 11 críticos, 24 moderadamente críticos y tres de menor criticidad.
  • CacheFlush, PayUmoney for Drupal Commerce y GroupEx PRO integration quedaron sin soporte por problemas de seguridad conocidos; Drupal recomienda desinstalarlos.

La falla de Commerce exige revisar las órdenes

Drupal confirmó que una vulnerabilidad de omisión de acceso en Commerce Core está siendo explotada activamente y pidió a quienes operan tiendas afectadas que auditen sus pedidos. El aviso SA-CONTRIB-2026-254 identifica el problema como CVE-2026-118539 y le asigna una puntuación de 21 sobre 25, clasificada como altamente crítica, la más severa del lote publicado el 28 de octubre de 2026.

La falla se origina en controles de acceso insuficientes en determinadas rutas y campos de entidades, de acuerdo con el aviso del Equipo de Seguridad de Drupal. Esa debilidad podría permitir accesos no autorizados con consecuencias financieras para los vendedores, aunque la alerta no identifica sitios comprometidos ni cuantifica pérdidas, por lo que no permite dimensionar el impacto observado en las tiendas.

El problema afecta a las versiones anteriores a 8.x-2.41 de la rama Commerce 2.x y a las versiones 3.0.0 a 3.3.12 de la rama 3.x. La recomendación es instalar Commerce Core 8.x-2.41 o 3.3.13, según la rama utilizada, y después revisar los pedidos existentes para detectar inconsistencias que pudieran estar relacionadas con accesos indebidos.

El equipo publicó 39 avisos de seguridad para 21 proyectos contribuidos, pero la explotación activa confirmada corresponde específicamente a esta falla de Commerce Core. El lote incluye un aviso altamente crítico, 11 críticos, 24 moderadamente críticos y tres menos críticos; esas clasificaciones describen riesgos distintos y no significan que todos los problemas tengan la misma facilidad de explotación ni que estén siendo utilizados en ataques.

Otros riesgos en pagos y gestión de tiendas

Doce de los avisos del lote están relacionados con Commerce Core, Commerce Stripe, Commerce Shipping y Commerce License, aunque sus escenarios de riesgo son diferentes. Uno de los problemas de mayor atención para los procesos de pago aparece en un aviso crítico de Commerce Stripe, que describe una falsificación de solicitud entre sitios en el flujo de autorización de Stripe Connect.

En ese escenario, un atacante podría inducir a un administrador a abrir un enlace manipulado y provocar que un pedido aparezca como pagado, pese a que no se haya realizado el pago. El fallo afecta a Commerce Stripe 2.0.0 a 2.2.2 y se corrige en 2.2.3; la rama 8.x-1.x no está afectada por esta vulnerabilidad concreta, mientras que otros dos avisos de Commerce Stripe tratan por separado la verificación de firmas de webhooks y debilidades de secuencias de comandos entre sitios.

Commerce License también presenta una restricción insuficiente sobre cambios en campos de licencias para usuarios que ya poseen una licencia y tienen el permiso update own commerce_license, que no se concede de forma predeterminada. Si un usuario con ese permiso explota la falla, podría alterar derechos asociados a su licencia y potencialmente escalar privilegios hasta el rol de administrador; la corrección está disponible en Commerce License 3.1.1.

Commerce Shipping recibió correcciones independientes en las versiones 8.x-2.16 y 3.0.6. En conjunto, estas alertas muestran que una actualización de Commerce Core no sustituye la revisión de los demás componentes de una tienda: cada extensión requiere comprobar la rama instalada, aplicar su versión corregida y evaluar los permisos o datos que el aviso correspondiente señala.

Alertas críticas en sincronización de contenido y módulos de IA

Dos avisos críticos de Single Content Sync describen riesgos que podrían desembocar en ejecución remota de código. Uno se relaciona con la deserialización insegura del contenido importado y el otro con la validación insuficiente de fuentes y destinos de archivos, que podría permitir escrituras arbitrarias, divulgación de archivos locales o solicitudes iniciadas desde el servidor.

Ambas vulnerabilidades requieren que el atacante tenga el permiso import single content, por lo que la exposición depende también de cómo el sitio distribuya esa capacidad. En el caso del manejo de archivos, la ejecución de código requiere además que el servidor permita ejecutar archivos controlados por el atacante; la versión 1.4.19 corrige los problemas y Drupal pide ejecutar las actualizaciones de base de datos, reconstruir las cachés y limitar el permiso de importación a roles de alta confianza.

El proyecto AI acumuló ocho avisos que abarcan secuencias de comandos entre sitios, divulgación de información y omisión de acceso, entre otros problemas de manejo de contenido y permisos. Una vulnerabilidad crítica, identificada como CVE-2026-118549, se debe a una validación insuficiente de enlaces Markdown bajo ciertas condiciones, y las correcciones para ramas con soporte están en AI 1.4.11 y 1.5.2.

La rama AI 1.3.x ya no tiene soporte, mientras que los demás avisos del proyecto se refieren, entre otros aspectos, al renderizado de HTML, las entradas del chatbot, los permisos de formatos de texto y el manejo de información en funciones relacionadas con IA. La advertencia sobre AI Search señala que ciertos resultados de vistas de Search API almacenados en caché podrían revelar títulos y campos visibles de contenido no publicado o restringido, pero solo bajo condiciones específicas de configuración y uso.

Para que ocurra esa exposición en AI Search, el sitio debe usar una vista de Search API con el almacenamiento en caché de resultados habilitado y debe existir una búsqueda previa de un usuario autorizado a consultar el contenido restringido. El mismo problema afecta al proyecto independiente AI Search, que cuenta con versiones alfa corregidas; el aviso excluye expresamente las herramientas de generación aumentada por recuperación, las acciones AI Assistant RAG y las consultas personalizadas de Search API.

Autenticación, módulos sin soporte y medidas pendientes

Las alertas también incluyen fallas de autenticación en dos proyectos de inicio de sesión. En OAuth Login – OAuth OIDC SSO, un atacante podría iniciar sesión como un usuario existente cuya dirección de correo conozca, siempre que cuente con una cuenta ante un proveedor de identidad configurado y pueda controlar un atributo que ese proveedor devuelve; la versión 3.1.1 corrige el problema.

Por separado, OpenID Connect Client podría permitir la toma de control de cuentas cuando el proveedor de identidad no verifica las direcciones de correo y el módulo vincula automáticamente una identidad nueva con una cuenta existente. La versión 2.3.1 deshabilita de forma predeterminada esa vinculación de nuevas identidades, una medida que reduce el riesgo descrito sin convertir ambos avisos en una misma vulnerabilidad.

Dos avisos revisan correcciones anteriores que no habían resuelto completamente los problemas. Media Alias Display aborda una divulgación de información asociada con la caché de archivos protegidos, cuya explotación requiere un esquema de archivos no público proporcionado por un módulo personalizado o contribuido y un archivo almacenado en caché que antes solicitó un usuario con más privilegios; las versiones corregidas son 2.1.3 y 3.0.3.

El aviso de CAPTCHA, por su parte, describe una repetición de sesión que permitiría reutilizar un desafío ya completado para enviar un formulario protegido sin resolver otro, debilitando la defensa contra envíos automatizados. Las correcciones están en CAPTCHA 8.x-1.18 y 2.0.11; aunque la evaluación señala que se sabe que existe código de explotación, el aviso no afirma que haya ataques en curso contra sitios web.

S3 File System presenta un riesgo de configuraciones no deseadas de control de acceso a objetos de Amazon S3 o de corrupción de metadatos bajo determinadas configuraciones, con una corrección disponible en 8.x-3.12. Además de actualizar, los operadores que utilicen configuraciones afectadas de toma de control de archivos privados o hooks personalizados deben auditar los permisos de los objetos, según la recomendación del aviso.

Drupal también marcó como sin soporte a CacheFlush, PayUmoney for Drupal Commerce y GroupEx PRO integration porque sus mantenedores no corrigieron problemas de seguridad conocidos. El equipo recomienda desinstalar esos proyectos en vez de esperar una actualización, aunque los sitios que dependan de sus funciones tendrán que considerar esa dependencia al retirarlos; el lote llega después de otros 34 avisos publicados el 21 de octubre, entre ellos una falla altamente crítica de ejecución remota de código en Ffmpeg Image Toolkit.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados