Drupal Commerce Core'da kritik açık, saldırganlar aktif olarak kullanıyor

Drupal, Commerce Core modülünde bulunan kritik bir erişim bypass açığı hakkında yöneticileri uyardı. Açık hakkındaki uyarıya göre, saldırganlar bu zafiyeti aktif olarak saldırılarda kullanıyor.

Açık, yetkisiz kişilerin Commerce Core modülü üzerinden kontrol edilemeyen işlemleri gerçekleştirmesine izin veriyor. Yani bir saldırgan, düzgün yetkilendirme olmadan sistem içindeki hassas verilere erişebiliyor veya değişiklik yapabiliyor. Bu tür bypass açıkları, e-ticaret sitelerinde özellikle tehlikeli çünkü ödeme, sipariş ve müşteri bilgileriyle ilgili işlemlere dokunabilir.

Drupal tarafından yayımlanan güvenlik yaması, bu açığı kapatıyor. Eğer senin sitende Drupal ve Commerce Core kuruluysa, hemen güncellemen gerekiyor. Saldırganlar zaten bu açığı taramaya ve istismar etmeye başladıkları için gecikme riski yüksek.

Güvenlik açıkları genellikle iki yoldan yayılır: ya Drupal'ın resmi sitesi üzerinden duyuru yapılır ve patch yayınlanır (bu durumda böyle), ya da saldırganlar açığı bulup sessizce istismar ederler. Burada ilk durum söz konusu olduğu için, Drupal yöneticileri hızlı hareket etme şansına sahip. Güncellemeleri erteleme, sitenin ele geçirilmesi riskini arttırıyor.