Drupal Commerce Core modulidagi muhim zaiflikni bartaraf etishga chaqirdi

Drupal xavfsizlik jamoasi ma'murlarga Commerce Core modulidagi kirish huquqlarini chetlab o'tishga imkon beruvchi muhim zaiflikni zudlik bilan yamoqlashni tavsiya qildi. Ushbu xavfsizlik kamchiligidan tajovuzkorlar real hujumlarda faol foydalanmoqda. Muammoga CVE-2026-118539 raqami berilgan va u yuqori darajadagi xavfli deb baholangan.

• Zaiflik Commerce Core 0.0.0 dan 2.41 gacha hamda 3.0.0 dan 3.3.13 gacha bo'lgan versiyalariga ta'sir qiladi.
• Muammo avtorizatsiyaning yetishmasligi sababli autentifikatsiyadan o'tmagan shaxslar tomonidan suiiste'mol qilinishi mumkin.
• Modul Fortune 500 kompaniyalari va universitetlarni o'z ichiga olgan 42 000 dan ortiq veb-saytlarda qo'llaniladi.

Zaiflik tafsilotlari va xavf ko'lami

Commerce Core moduli mijozlarga tovarlar va xizmatlarni sotish, savatcha va buyurtma shakllari hamda API orqali ilovalar yaratish imkonini beradi. Modul ma'lum marshrutlar va maydonlarni yetarlicha himoya qilmagani sababli sotuvchiga moliyaviy zarar yetkazishi mumkin bo'lgan ruxsatsiz kirish yuzaga keladi. Hozirgi kunda ushbu zaiflikka qarshi faol hujumlar kuzatilmoqda, shu sababli ishlab chiquvchilar buyurtmalar tarixini sinchkovlik bilan tekshirishni talab qilmoqda.

Commerce Core — bu Drupal CMS negizida elektron tijorat saytlarini qurish uchun mo'ljallangan mashhur ramka hisoblanadi. Drupal xavfsizlik xizmati 3.x tarmog'idagi ma'murlardan zudlik bilan 3.3.13 versiyasiga yoki oldingi versiyalar uchun Commerce Core 8.x-2.41 ga o'tishni qat'iy so'ragan. Aks holda, tajovuzkorlar tizimdagi bo'shliqlardan foydalanib biznesga jiddiy zarar yetkazishi mumkin.

Drupal ekotizimidagi boshqa so'nggi xavfsizlik muammolari

So'nggi oylarda Drupal platformasida jiddiy xavfsizlik kamchiliklari tez-tez aniqlanmoqda. May oyida ma'murlar ma'lumotlar bazasi API'sida SQL inyeksiyasi (CVE-2026-9082) aniqlangani haqida ogohlantirilgan edi, bu esa imtiyozlarni oshirish va kodni masofadan bajarishga olib kelishi mumkin edi. Shundan so'ng AQShning CISA agentligi ushbu zaiflikni o'zining ma'lum ekspluat qilingan zaifliklar katalogiga kiritgan edi.

Ikki hafta oldin esa Drupal yana ikkita masofadan turib kod bajarish muammosini (CVE-2026-108097 va CVE-2026-108099) yamoqlagan edi. Mutaxassislar tajovuzkorlar bir necha soat yoki kun ichida ekspluatlar yaratishi mumkinligidan ogohlantirib, yangilanishlarni kechiktirmaslikka chaqirgandi. Oxirgi yillarda CISA Drupal'ning bir nechta zaifliklarini fosh qilgan.

Biznes va dasturchilar uchun ahamiyati

O'zbekiston va xalqaro miqyosdagi elektron tijorat saytlari va kompaniyalar uchun ushbu xabar jiddiy ogohlantirish bo'lishi kerak. Drupal va uning savdo modullaridan foydalanuvchi resurslar darhol yangilanishlarni o'rnatishi va xavfsizlik auditini o'tkazishi shart. Aks holda, moliyaviy yo'qotishlar va mijozlar ma'lumotlarining xavfsizligiga putur yetish xavfi yuqori bo'lib qolmoqda.