note

Commerce Core

CVE-2026-118539: route e campi delle entità non protetti a sufficienza. Ne deriva un access bypass che può avere impatto finanziario sul venditore. Il vendor dichiara che la vulnerabilità è attivamente sfruttata.

CVE-2026-118540: se Drupal Commerce è usato con il modulo JSON:API, le varianti di prodotto non pubblicate sono accessibili a utenti senza permesso. Riguarda solo i siti con prodotti pubblicati e varianti non pubblicate.

CVE-2026-118541: l'accesso alla relazione tra promozioni e coupon non è controllato. Un utente autorizzato a gestire solo le proprie promozioni può modificare o cancellare i coupon di altre promozioni. Il sito deve accettare scritture via JSON:API o REST, che non sono abilitate di default.

CVE-2026-118542: quando uno store viene salvato, l'accesso non è controllato. Un utente che può creare store o modificare il proprio può impostarlo come store predefinito del sito, e così riceve ordini che non dovrebbe ricevere. Riguarda solo i siti che concedono questi permessi a utenti non fidati, come i marketplace in cui i venditori gestiscono il proprio store.

CVE-2026-118543: le route della inbox della dashboard Commerce non verificano il token CSRF. Un attaccante può indurre un utente con il permesso access commerce administration pages a visitare una pagina predisposta, e così le notifiche vengono archiviate. La inbox è condivisa: le notifiche spariscono per tutti gli amministratori, compresi gli avvisi di aggiornamenti di sicurezza.

CVE-2026-118544: le entity query restituiscono anche varianti di prodotto che l'utente non può vedere. Con il modulo core JSON:API abilitato, richieste ripetute permettono di ricavare alcuni valori dei campi di varianti non pubblicate, o di varianti di prodotti non pubblicati. Il modulo JSON:API deve essere abilitato.

Commerce License

CVE-2026-118555: l'accesso ai campi della licenza non è limitato per gli utenti con il permesso update own commerce_license. Il titolare di una licenza può modificare i diritti che concede e il suo stato, fino a ottenere il ruolo di Administrator del sito. L'attaccante deve essere titolare di una licenza e avere quel permesso, che non è concesso di default.

Commerce Shipping

CVE-2026-118556: i riferimenti alle spedizioni e i loro campi non sono protetti a sufficienza. Si possono quindi modificare gli stati delle spedizioni o cancellarle. L'attaccante deve avere un carrello con accesso via API.

CVE-2026-118557: l'accesso al form per il reinvio delle ricevute non è controllato. In alcune configurazioni alcuni utenti accedono a ricevute e dati dei clienti di ordini che non dovrebbero vedere.

Commerce Stripe

CVE-2026-118558: nel redirect verso Stripe Connect per ottenere il codice di autorizzazione, la URI di ritorno non contiene un token CSRF. Un attaccante può indurre un amministratore a cliccare un link che aggira il pagamento Stripe: l'ordine risulta pagato senza alcun pagamento effettivo.

CVE-2026-118559: la firma crittografica degli eventi webhook non è verificata se il signing secret non è configurato nel gateway di pagamento. Non tutti i plugin di gateway usano i webhook, e un valore qualsiasi nel campo del signing secret impedisce l'elaborazione impropria.

CVE-2026-118560: in rare circostanze è possibile un Cross-site Scripting. L'attaccante deve avere permessi di amministratore per configurare i gateway di pagamento. Serve inoltre la compromissione di un servizio esterno, insieme all'uso di Stripe Connect.

AI (Artificial Intelligence)

CVE-2026-118545: il rendering HTML non è limitato a sufficienza, e in alcune condizioni è possibile un Cross-site Scripting. L'attaccante deve avere accesso a un formato di testo che renderizza HTML.

CVE-2026-118546: in alcune configurazioni il chatbot del sottomodulo AI Chatbot non filtra l'input dell'utente prima del rendering. L'attaccante deve avere il permesso di amministrare i blocchi.

CVE-2026-118548: in alcune condizioni i link non sono validati a sufficienza, e informazioni sensibili possono essere esfiltrate verso siti esterni. L'attaccante deve usare sorgenti non attendibili in un'interazione con il modulo AI che produce HTML renderizzato.

CVE-2026-118549: in alcune condizioni il servizio che impedisce gli elementi Cross-site Scripting non valida i link Markdown.

CVE-2026-118550: il backend del sottomodulo AI Search controlla l'accesso a ogni risultato, ma Search API non ne tiene conto quando mette in cache i risultati di una view. Titoli e altri campi di contenuti non pubblicati o ad accesso limitato possono così essere mostrati a utenti senza accesso. Servono tre condizioni: il sottomodulo deve essere abilitato e usato con una view Search API; la view deve usare la cache dei risultati di Search API (l'impostazione predefinita Search API (none) non è vulnerabile); un utente con accesso ai contenuti riservati deve aver fatto la stessa ricerca entro la durata della cache. Il vendor precisa che il sottomodulo è sperimentale e deprecato. Il modulo standalone AI Search, indicato come sostituto, aveva la stessa vulnerabilità. Non sono interessati gli strumenti RAG, le azioni RAG di AI Assistant e il codice custom che esegue query Search API.

CVE-2026-118551: l'audio di ogni richiesta di speech-to-text viene scritto sempre nello stesso file della directory temporanea, e non viene cancellato. Chi può leggere quella directory può ottenere l'audio inviato da altri utenti. L'attaccante deve avere accesso in lettura alla directory temporanea, dal server (per esempio un hosting condiviso) o tramite un modulo o codice custom che esponga i file temporanei. La route core system.temporary serve i file temporanei solo al loro proprietario.

CVE-2026-118552: alcuni attributi HTMX non sono sanificati a sufficienza, e questo rende possibile un Cross-site Scripting.

CVE-2026-118553: il sottomodulo AI Automator non controlla a sufficienza l'accesso ai formati di testo. Gli utenti possono così scrivere contenuti dei campi in formati che non sarebbero autorizzati a usare.

Single Content Sync

CVE-2026-118561: durante l'import, sorgenti e destinazioni dei file non sono validate a sufficienza. Un attaccante può scrivere file arbitrari, leggere file locali accessibili al web server o far eseguire al server richieste verso risorse interne o esterne. Secondo la configurazione del server, l'esito può arrivare alla remote code execution. Serve il permesso import single content, che dalla versione 1.4.18 è contrassegnato come restricted. La remote code execution richiede inoltre che il server consenta l'esecuzione di file controllati dall'attaccante.

CVE-2026-118562: un file di import predisposto può provocare la deserializzazione di dati non attendibili, con possibile remote code execution. L'attaccante deve avere un ruolo con il permesso import single content.

OpenID Connect Client e OAuth Login - OAuth OIDC SSO

CVE-2026-118554 (OpenID Connect Client): al primo login di un nuovo utente via OpenID Connect, il modulo lo collega a un account esistente con lo stesso indirizzo email. Così è possibile prendere il controllo di qualunque account Drupal non ancora collegato a un utente OpenID Connect, tranne l'utente 1. Il sito deve usare un provider che non verifica l'indirizzo email.

CVE-2026-118572 (OAuth Login - OAuth OIDC SSO): il modulo non controlla l'accesso a una route di configurazione e non verifica che l'identity provider abbia confermato l'indirizzo email restituito. Le due cose insieme permettono di accedere come qualunque utente di cui si conosca l'indirizzo email. L'attaccante deve avere un account presso un identity provider configurato sul sito. Deve anche poter impostare almeno un attributo restituito dal provider, per esempio lo username.

CAPTCHA

CVE-2026-118582: una sessione CAPTCHA risolta non viene invalidata del tutto. Un form protetto già inviato può essere inviato di nuovo senza risolvere un nuovo CAPTCHA, e questo indebolisce la protezione contro registrazioni di spam, spam nei commenti e brute force sul login. È il seguito della correzione precedente (SA-CONTRIB-2026-015, CVE-2026-3214), che aveva chiuso solo uno dei percorsi di replay.

Fasttoggle

CVE-2026-118569: l'accesso all'entità su cui si agisce non è controllato. Un utente con il permesso Use Fasttoggle può cambiare stato di pubblicazione, promozione e sticky di qualunque nodo o commento, anche senza il permesso di modificarlo. Può per esempio pubblicare una bozza che non è autorizzato a vedere.

CVE-2026-118570: la URL di toggle non è protetta contro il cross-site request forgery. Se un utente con il permesso Use Fasttoggle visita una pagina controllata dall'attaccante mentre è autenticato, l'attaccante può cambiare lo stato di pubblicazione di contenuti arbitrari a suo nome.

OAuth2 Token Manager

CVE-2026-118573: l'accesso alle route OAuth2 non è limitato. Un visitatore anonimo può collegare l'integrazione del sito con Box, Quip o Slack a un account che controlla. L'attaccante deve ottenere il valore OAuth2 state di una precedente inizializzazione del token di sistema, per esempio dai log di accesso del server.

S3 File System

CVE-2026-118574: il contesto di upload non è isolato tra operazioni sui file diverse nella stessa richiesta. Gli oggetti possono essere caricati con ACL errate, o danneggiati da metadati di un'altra operazione. L'attaccante deve poter avviare più operazioni sui file su S3FS. Il vendor indica due mitigazioni. La prima è non abilitare il private:// takeover, oppure abilitarlo solo con s3fs.upload_as_private impostato a TRUE. La seconda è non usare gli hook hook_s3fs_stream_open_params_alter(), hook_s3fs_upload_params_alter(), hook_s3fs_copy_params_alter() e hook_s3fs_command_params_alter(). Se entrambe le condizioni sono sempre state vere, tutti i vettori noti sono mitigati.

Bulk Update User Roles

CVE-2026-118567: il form di aggiornamento massivo dei ruoli è accessibile anche agli utenti senza il permesso di assegnare ruoli. L'attaccante deve avere un ruolo con il permesso administer users.

Field Permissions

CVE-2026-118583: i privilegi amministrativi non sono verificati a sufficienza. Gli utenti con un ruolo chiamato administrator possono vedere e modificare campi protetti. L'attaccante deve avere un ruolo con machine name administrator che non sia quello impostato come ruolo amministratore del sito. Con la configurazione predefinita dei ruoli il sito non è vulnerabile.

CVE-2026-118584: l'accesso ai campi Private non è limitato sulle entità senza un campo autore. Questi campi diventano visibili e, se l'entità è modificabile, modificabili da chiunque possa vederla, anche da utenti anonimi. Un amministratore deve aver configurato un campo Private su un'entità senza autore, e l'attaccante deve già poter vedere quell'entità. Non sono interessati i campi Private su nodi, utenti, media, commenti e altre entità con autore, né i campi che usano Custom permissions.

Content Sync (content-sync.io)

CVE-2026-118568: la password dell'utente di sistema usato per la sincronizzazione non è cifrata a sufficienza, e utenti senza privilegi possono vederla. L'attaccante deve avere un dump del database o accesso in lettura alla tabella degli utenti. Senza un accesso precedente al database la vulnerabilità non è sfruttabile.

Media Alias Display

CVE-2026-118571: in alcuni casi i file vengono serviti con l'header Cache-Control: public anche quando non dovrebbero essere messi in cache. Alcuni utenti possono così ottenere versioni in cache di file con informazioni a cui non dovrebbero accedere. È il seguito di SA-CONTRIB-2026-245, che non aveva risolto del tutto il problema. Servono due condizioni: Drupal deve gestire i file non pubblici tramite uno schema di file aggiuntivo fornito da un modulo custom o contribuito, e l'attaccante deve richiedere un file già richiesto da un utente con più privilegi e ancora in cache.

Signature pad widget

CVE-2026-118575: i contenuti forniti dagli utenti non sono sanificati prima del salvataggio nel file system pubblico. In alcuni scenari un file SVG predisposto può contenere contenuti attivi e permettere un Cross-site Scripting.

Stage File Proxy

CVE-2026-118576: durante il recupero di fallback, la URL del file non viene controllata per contenuti malevoli, e questo permette un Cross-site Scripting. Il vendor dichiara che il modulo non è destinato ai siti di produzione. Il modulo deve essere abilitato sul sito bersaglio, e l'attaccante deve poter caricare un file malevolo sul server di origine configurato.

CacheFlush, PayUmoney for Drupal Commerce, GroupEx PRO (Daxko) integration

CVE-2026-118563, CVE-2026-118564, CVE-2026-118565: il Drupal Security Team ha dichiarato questi progetti non supportati, perché hanno una vulnerabilità nota che il maintainer non ha corretto. Il vendor non pubblica dettagli sulla vulnerabilità e non esiste una versione corretta.

Remediation

Versioni corrette dichiarate dal vendor: Commerce Core 3.3.13 per il ramo 3.x e 8.x-2.41 per il ramo precedente; per CVE-2026-118540 la correzione sul ramo 3.x è già presente dalla 3.2.0. Commerce License 3.1.1. Commerce Shipping 3.0.6 e 2.16.0. Commerce Stripe 2.2.3; per CVE-2026-118559 anche 1.4 sul ramo 1.x. AI (Artificial Intelligence) 1.5.2 e 1.4.11. Single Content Sync 1.4.19. OpenID Connect Client 2.3.1. OAuth Login - OAuth OIDC SSO 3.1.1. CAPTCHA 2.0.11 e 1.18.0. Fasttoggle 4.1.1. OAuth2 Token Manager 1.2.0. S3 File System 3.12.0. Bulk Update User Roles 1.0.5. Field Permissions 8.x-1.6. Content Sync (content-sync.io) 3.2.2. Media Alias Display 3.0.3 e 2.1.3. Signature pad widget 1.15.0. Stage File Proxy 4.0.1 e 3.1.7.

Per Commerce Core il vendor raccomanda di verificare gli ordini alla ricerca di incongruenze dopo l'aggiornamento. Per Commerce License, i siti che hanno concesso il permesso update own commerce_license devono controllare che le licenze di ruolo non contengano ruoli imprevisti e rivedere quali utenti hanno ruoli amministrativi.

Per CacheFlush, PayUmoney for Drupal Commerce e GroupEx PRO (Daxko) integration non esiste una versione corretta.