Veille sécuritéCMS & e-commerce
P4Moyenne
Une faille d’autorisation dans Drupal Commerce Core permet l’accès direct non autorisé à des ressources (forceful browsing). Les versions indiquées comme touchées sont antérieures ou égales à 2.41 et, dans la branche 3.x, de 3.0.0 à 3.3.13 ; le lot ne précise pas de correctif.
Drupal
IdentifiantCVE-2026-118539
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-118539
Analyse technique
Autorisation manquante ; score CVSS indiqué : 6.5. La mise à jour de la fiche après la période ne modifie pas la date de publication retenue pour cet item.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-30T04:18:18.830Z, dans la période demandée. Sa mise à jour du 2026-10-31T04:18:17.150Z est postérieure à la borne de fin et n’est pas traitée comme un événement de la période.
ImpactUn utilisateur pourrait accéder à des ressources sans l’autorisation requise.
Versions affectéesCommerce Core : jusqu’à 2.41 ; 3.0.0 à 3.3.13
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.5
EPSS0,22% · percentile 12,8%
Publication2026-10-30T04:18:18.830Z
Mise à jour2026-10-31T04:18:17.150Z
Sources
Priorisation DFS : P4 · 1 source(s).