Drupal Commerce License และ Shipping แก้ 3 CVE กระทบสิทธิ์และข้อมูลคำสั่งซื้อ

Drupal Commerce License และ Shipping แก้ 3 CVE ที่กระทบสิทธิ์และข้อมูลคำสั่งซื้อ

Drupal เผยแพร่ประกาศช่องโหว่ในโมดูล Commerce License หนึ่งรายการและ Commerce Shipping สองรายการเมื่อวันที่ 28 ตุลาคม 2026 ปัญหาทั้งสามเป็นการตรวจสิทธิ์ไม่เพียงพอ แต่ขอบเขตแตกต่างกันอย่างมาก: รายการหนึ่งอาจยกระดับสิทธิ์ได้ถึงผู้ดูแลเว็บไซต์ภายใต้เงื่อนไขเฉพาะ อีกรายการเกี่ยวข้องกับสถานะการจัดส่ง และอีกหนึ่งรายการอาจเปิดเผยข้อมูลบนใบเสร็จ ผู้ดูแลเว็บไซต์ที่ใช้ Drupal Commerce ควรตรวจว่าได้ติดตั้งโมดูลเสริมสองตัวนี้หรือไม่ เพราะการใช้ Commerce Core เพียงอย่างเดียวไม่ทำให้เข้าข่ายทั้งสามรายการโดยอัตโนมัติ

วันเปิดเผยต่อสาธารณะครั้งแรก: ประกาศ SA-CONTRIB-2026-260 ออกวันที่ 28 ตุลาคม 2026 เวลา 16:56:16 UTC, SA-CONTRIB-2026-261 เวลา 16:56:24 UTC และ SA-CONTRIB-2026-262 เวลา 16:56:34 UTC ระเบียน CVE-2026-118555 ถึง CVE-2026-118557 เผยแพร่ครั้งแรกวันที่ 30 ตุลาคม 2026 เวลา 03:09:04–03:09:06 UTC ตามระบบ CVE ส่วนแพตช์ของทั้งสองโมดูลออกวันที่ 28 ตุลาคม 2026 ตามหน้า release ของ Drupal จึงไม่ใช่ช่องโหว่เก่าที่เพิ่งได้รับเลข CVE

CVE-2026-118555: Commerce License อาจยกระดับสิทธิ์

Commerce License ใช้ขาย license ที่ให้สิทธิ์เข้าถึงทรัพยากร เช่น role ของผู้ใช้ ไฟล์ หรือเนื้อหาที่มีการป้องกัน Drupal ระบุว่าโมดูลจำกัดการเข้าถึง field ของ license สำหรับผู้มีสิทธิ์ update own commerce_license ไม่เพียงพอ เจ้าของ license จึงอาจแก้สิทธิ์ที่ license นั้นมอบให้ และเปลี่ยนสถานะของ license ได้ ผลกระทบอาจไปถึงการได้รับ role Administrator ของเว็บไซต์

เงื่อนไขสำคัญคือผู้โจมตีต้องเป็นเจ้าของ license และมี role ที่ได้รับสิทธิ์ update own commerce_license ซึ่ง Drupal ระบุว่า ไม่ได้เปิดให้โดยค่าเริ่มต้น ไม่ควรสรุปว่าผู้ซื้อ license ทุกรายยกระดับสิทธิ์ได้ โมดูลเวอร์ชันก่อน 3.1.1 ได้รับผลกระทบ และแก้ใน 3.1.1 สำหรับ Drupal 10 และ 11 หน้า release สร้างวันที่ 28 ตุลาคม 2026 เวลา 13:17 UTC ผู้ดูแลที่เคยให้สิทธิ์นี้ควรตรวจ role licenses ที่มี role ผิดปกติ และทบทวนรายชื่อผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบตามคำแนะนำของ Drupal หน้าแพตช์: https://www.drupal.org/project/commerce_license/releases/3.1.1

CVE-2026-118556: Commerce Shipping อาจแก้หรือลบข้อมูลการจัดส่ง

Commerce Shipping ใช้จัดการ shipment สำหรับสินค้าที่ต้องส่งจริง ประกาศ Drupal ระบุว่าการป้องกัน shipment references และ field ของ shipment entity ไม่เพียงพอ อาจทำให้สถานะการจัดส่งถูกแก้ไขผิดสิทธิ์หรือ shipment ถูกลบ เงื่อนไขคือผู้โจมตีต้องมี cart และเข้าถึง API ที่ใช้จัดการ shipment ของตนได้ จึงควรตรวจการเปิด API และสิทธิ์ของลูกค้าในระบบจริง แทนการตีความว่าผู้เยี่ยมชมทั่วไปลบ shipment ใดก็ได้

เวอร์ชันที่ได้รับผลกระทบคือสาย 8.x-2.x ก่อน 8.x-2.16 และสาย 3.x ตั้งแต่ 3.0.0 ถึงก่อน 3.0.6 ผู้ใช้แต่ละสายควรอัปเดตเป็นเวอร์ชันแก้ไขที่ตรงกัน แล้วทดสอบการสร้าง cart, การคำนวณค่าจัดส่ง และการจัดการ shipment ผ่าน API หลังอัปเดต หากมี shipment ถูกลบหรือเปลี่ยนสถานะผิดปกติให้ตรวจบันทึกและคำสั่งซื้อที่เกี่ยวข้อง

CVE-2026-118557: Commerce Shipping อาจเปิดเผยใบเสร็จของคำสั่งซื้ออื่น

อีกช่องโหว่ใน Commerce Shipping เกิดจากการตรวจสิทธิ์ของแบบฟอร์มส่งใบเสร็จซ้ำไม่เพียงพอ ภายใต้การตั้งค่าบางแบบ ผู้ใช้บางกลุ่มอาจเข้าถึงใบเสร็จและข้อมูลลูกค้าของคำสั่งซื้อที่ตนไม่ควรเห็นได้ Drupal จัดรายการนี้ในระดับ Less critical และไม่ได้ระบุว่าเป็นการเปิดเผยข้อมูลให้ทุกคนโดยไม่มีเงื่อนไข แต่เว็บไซต์ควรทบทวนสิทธิ์ที่เกี่ยวข้องกับการส่งใบเสร็จและข้อมูลลูกค้า โดยเฉพาะระบบที่แบ่งหน้าที่ระหว่างพนักงานหลายกลุ่ม

ช่วงเวอร์ชันที่ได้รับผลกระทบและเวอร์ชันแก้ไขเหมือน CVE-2026-118556 คืออัปเดตสาย 8.x-2.x เป็น 8.x-2.16 หรือสาย 3.x เป็น 3.0.6 หน้า release ของ 8.x-2.16 สร้างวันที่ 28 ตุลาคม 2026 เวลา 12:59 UTC และ 3.0.6 เวลา 13:04 UTC แหล่งแพตช์: https://www.drupal.org/project/commerce_shipping/releases/8.x-2.16 และ https://www.drupal.org/project/commerce_shipping/releases/3.0.6

การรับมือควรเริ่มจากตรวจโมดูลและเวอร์ชันในระบบจริง อัปเดตตามสายที่ใช้ ทดสอบขั้นตอนขาย license และจัดส่งหลังอัปเดต จากนั้นตรวจสิทธิ์ update own commerce_license, role ที่ได้รับจาก license, รายการ shipment และการเข้าถึงใบเสร็จย้อนหลังตามความเสี่ยงของแต่ละเว็บไซต์ แหล่งอ้างอิงระเบียน CVE: https://www.cve.org/CVERecord?id=CVE-2026-118555, https://www.cve.org/CVERecord?id=CVE-2026-118556 และ https://www.cve.org/CVERecord?id=CVE-2026-118557