Drupal Commerce Core Vulnerability Exploited Against Online Stores

La pla­ta­for­ma Dru­pal ha emi­ti­do una aler­ta ur­gen­te a los pro­pie­ta­rios de tien­das vir­tua­les para que ins­ta­len una ac­tua­li­za­ción que co­rri­ge una falla crí­ti­ca de salto de con­trol de ac­ce­so en el mó­du­lo Com­mer­ce Core, la cual ya está sien­do apro­ve­cha­da en ata­ques reales. El fallo, re­gis­tra­do con el có­di­go co­rres­pon­dien­te, afec­ta a este com­ple­men­to de co­mer­cio elec­tró­ni­co pre­sen­te en de­ce­nas de miles de si­tios web, per­mi­tien­do que ata­can­tes sin au­ten­ti­car lo ex­plo­ten sin im­por­tar la con­fi­gu­ra­ción del sis­te­ma.

Los res­pon­sa­bles de se­gu­ri­dad de Dru­pal han ca­li­fi­ca­do el pro­ble­ma con una pun­tua­ción de ries­go muy alta, se­ña­lan­do que la de­fi­cien­cia en la pro­tec­ción de cier­tas rutas y cam­pos de en­ti­da­des puede pro­vo­car per­jui­cios eco­nó­mi­cos para los co­mer­cian­tes. Hasta el mo­men­to, los ad­mi­nis­tra­do­res de la pla­ta­for­ma han con­fir­ma­do la exis­ten­cia de ata­ques ac­ti­vos, pero no han di­vul­ga­do la me­to­do­lo­gía de ex­plo­ta­ción, la au­to­ría de los in­ci­den­tes, la can­ti­dad de si­tios afec­ta­dos ni si el fallo fun­cio­nó pre­via­men­te como una vul­ne­ra­bi­li­dad de día cero, re­co­men­dan­do ac­tua­li­zar el soft­wa­re y re­vi­sar mi­nu­cio­sa­men­te las ór­de­nes de com­pra en busca de ano­ma­lías.

Adi­cio­nal­men­te, se han pu­bli­ca­do otros avi­sos de se­gu­ri­dad que atien­den múl­ti­ples vul­ne­ra­bi­li­da­des en pro­yec­tos com­ple­men­ta­rios, abar­can­do fa­llos crí­ti­cos que po­drían fa­ci­li­tar la eje­cu­ción de có­di­go re­mo­to, la apro­pia­ción de cuen­tas o la mar­ca­ción frau­du­len­ta de pe­di­dos pa­ga­dos a tra­vés de Stri­pe. Entre las co­rrec­cio­nes re­cien­tes tam­bién fi­gu­ran so­lu­cio­nes para un pro­ble­ma mo­de­ra­do en el mó­du­lo CAPTCHA con có­di­go de ex­plo­ta­ción cir­cu­lan­do, así como fa­llos de di­vul­ga­ción de in­for­ma­ción y erro­res pre­vios de eje­cu­ción re­mo­ta de có­di­go co­rre­gi­dos a me­dia­dos de mes.