Vulnérabilité · moyenne · CVSS 6.5
Drupal Commerce Core : faille critique dans le panier et le paiement
Niveau C · À surveiller – Vérifiez si vous êtes concernés
Qui est exposé : Plus de 40 000 sites Drupal Commerce Core potentiellement impactés
Niveau C, parce que : Touche les équipes tech
Portée
Attaque
Dégâts
Correctif
À distance, sans identifiants
L’essentiel
- Drupal a publié une alerte sur une faille critique, référencée CVE-2026-118539, dans Drupal Commerce Core.
- La faille touche le panier et la procédure de paiement.
- Plus de 40 000 sites sont potentiellement concernés, et la faille permet un contournement des mécanismes de sécurité.
Pourquoi c’est important
Une faille critique dans le panier et le paiement peut toucher directement les boutiques en ligne construites avec Drupal Commerce Core et leurs commandes.
La check-list derrière le niveau
Check-list · 2 oui sur 10
| Oui | Touche les équipes tech | Drupal Commerce Core est un outil de développement utilisé par des équipes qui construisent et exploitent des boutiques en ligne. |
| Non | Infrastructure de base | Module e-commerce d'un seul éditeur, non une infrastructure que presque toutes les équipes exploitent. |
| Non | Outil répandu | Drupal Commerce reste une extension spécialisée du CMS Drupal, plutôt de niche qu'un outil très répandu. |
| Non | Activement exploitée | Programmez! ne rapporte aucune attaque observée ni campagne exploitant la faille CVE-2026-118539. |
| Non | Exploit public | Programmez! ne mentionne aucun exploit ni preuve de concept publiée. |
| Oui | À distance, sans identifiants | CVSSCVE-2026-118539 : CVSS 6,5 – par le réseau, sans privilèges, sans interaction de l'utilisateur |
| Non | Compromission totale | CVSSCVSS : aucune CVE n'a à la fois un impact élevé sur la confidentialité et sur l'intégrité |
| Non | Secrets exposés | Programmez! ne signale aucun vol ni aucune fuite d'identifiants, de données ou de configurations. |
| Non | Chaîne d'approvisionnement | Programmez! ne signale aucune compromission de paquet, de mise à jour ou de chaîne de distribution. |
| Non | Pas encore de correctif | Programmez! ne dit pas qu'il manque un correctif ; aucune absence de version corrigée n'est rapportée. |
Les données officielles
D’après CVE.org, le catalogue Known Exploited Vulnerabilities de la CISA, FIRST EPSS et la GitHub Advisory Database. Quand ces sources répondent à un critère de la check-list, elles priment sur les articles.
CVE-2026-118539 ↗CVSS 6.5 medium AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
Commerce Core - Highly critical - Access bypass - SA-CONTRIB-2026-254
- Exploitée
- Absente du catalogue d’exploitation de la CISA
- EPSS
- <1% de probabilité d’exploitation dans les 30 prochains jours · supérieure à 52% de toutes les CVE
- Faiblesse
- CWE-862
Chronologie
Drupal publie une alerte sur la faille CVE-2026-118539
Programmez! - Toute l'actualité
Drupal : faille critique dans Drupal Commerce Core
Source
Drupal : faille critique dans Drupal Commerce Core ↗ Programmez! - Toute l'actualité · il y a 3 h
Repéré le · 1 source · Page complète de l’article · Comment les niveaux sont attribués