Drupal warns of critical Commerce Core flaw exploited in attacks

Los ad­mi­nis­tra­do­res de Dru­pal han re­ci­bi­do una ad­ver­ten­cia para so­lu­cio­nar una vul­ne­ra­bi­li­dad crí­ti­ca de omi­sión de con­tro­les de ac­ce­so en el mó­du­lo Com­mer­ce Core, la cual está sien­do apro­ve­cha­da por ac­to­res ma­li­cio­sos en in­ci­den­tes reales. Este fallo, re­gis­tra­do ofi­cial­men­te bajo una clave es­pe­cí­fi­ca de se­gui­mien­to, surge a par­tir de una de­bi­li­dad por falta de au­to­ri­za­ción que puede ser ex­plo­ta­da por agre­so­res sin au­ten­ti­car, afec­tan­do a múl­ti­ples ver­sio­nes de dicho mó­du­lo co­mer­cial.

Ante esta si­tua­ción, el equi­po de se­gu­ri­dad de la pla­ta­for­ma ha so­li­ci­ta­do a los ad­mi­nis­tra­do­res que ac­tua­li­cen de in­me­dia­to a las ver­sio­nes co­rre­gi­das co­rres­pon­dien­tes y reali­cen au­di­to­rías en las ór­de­nes para de­tec­tar cual­quier in­con­sis­ten­cia. El com­po­nen­te afec­ta­do per­mi­te co­mer­cia­li­zar pro­duc­tos y ser­vi­cios me­dian­te for­mu­la­rios de com­pra o apli­ca­cio­nes des­aco­pla­das, pero de­bi­do a una pro­tec­ción in­su­fi­cien­te en cier­tas rutas y cam­pos de en­ti­da­des, se pro­du­ce un ac­ce­so in­de­bi­do que puede cau­sar per­jui­cios eco­nó­mi­cos a los ven­de­do­res.

El mó­du­lo Com­mer­ce Core es una he­rra­mien­ta co­mu­ni­ta­ria em­plea­da por de­ce­nas de miles de si­tios web, abar­can­do or­ga­ni­za­cio­nes des­ta­ca­das como em­pre­sas de gran re­co­no­ci­mien­to y cen­tros uni­ver­si­ta­rios de in­ves­ti­ga­ción, sir­vien­do como in­fra­es­truc­tu­ra para cons­truir pla­ta­for­mas de co­mer­cio elec­tró­ni­co. El aviso sobre esta in­ci­den­cia se suma a otras aler­tas emi­ti­das pre­via­men­te por la pla­ta­for­ma res­pec­to a fa­llos de in­yec­ción de SQL y pro­ble­mas de eje­cu­ción re­mo­ta de có­di­gos, si­tua­cio­nes que en el pa­sa­do han pro­vo­ca­do la in­ter­ven­ción de agen­cias gu­ber­na­men­ta­les de ci­ber­se­gu­ri­dad para or­de­nar la apli­ca­ción de par­ches.