Уязвимость CVE-2026-118539 находится в модуле Commerce Core, который отвечает за корзину, оформление покупок и работу торговых функций через API. Из-за недостаточной проверки прав доступа посторонний может взаимодействовать с маршрутами и полями заказов без необходимых разрешений.
Проблема затрагивает версии Commerce Core ниже 8.x-2.41 и выпуски 3.x до 3.3.13, а исправления вышли 28 октября. Опасность касается и обычных магазинов, и проектов с отдельной клиентской частью, которая обращается к магазину через API.
Centarro получила два сообщения о мошеннических заказах, среди которых встречались покупки по цене 1 цент, но признаков массовой кампании не выявлено. Поэтому владельцам магазинов советуют не только обновить модуль, но и сопоставить оплаченные заказы с реальными платёжными операциями.