Contexte de la vulnérabilité
Le module Drupal Commerce, intégré au CMS Drupal, gère les catalogues, les paniers et les paiements. Une faille d’autorisation a été identifiée dans le cœur du module, qualifiée de « hautement critique » par les chercheurs en sécurité. Le rapport indique que des acteurs malveillants exploitent déjà cette faiblesse en production, ce qui place les sites e‑commerce sous Drupal à risque immédiat.
Mécanisme d’autorisation compromis
Dans Drupal, les contrôles d’accès sont basés sur le système de permissions et les rôles. La faille concerne une logique de vérification qui, dans certains chemins d’API, ne valide pas correctement le statut d’utilisateur avant d’accorder l’accès à des ressources sensibles. Le contournement permet à un compte non authentifié ou à un compte avec des droits limités d’exécuter des actions réservées aux administrateurs, comme la modification de produits ou la consultation de données clients.
Implications pour les sites e‑commerce
Un contournement d’autorisation dans le cœur du module expose plusieurs vecteurs d’attaque. Un attaquant peut altérer le catalogue, injecter du code malveillant dans les pages produit ou accéder aux informations de paiement. La compromission de ces données peut entraîner des pertes financières, la violation de la confidentialité des clients et la dégradation de la réputation du commerçant. L’exploitation active suggère que des campagnes automatisées ciblent les instances non patchées.
Recommandations de mitigation
Les opérateurs de sites Drupal Commerce doivent appliquer immédiatement les correctifs publiés par le projet Drupal. En l’absence de correctif, il est recommandé de désactiver les routes vulnérables via le fichier services.yml ou d’ajouter des contrôles d’accès personnalisés dans un module dédié. La mise en place d’un WAF capable de bloquer les requêtes vers les points d’entrée identifiés réduit le risque d’exploitation. Enfin, la surveillance des logs d’accès pour détecter des tentatives d’accès non autorisées doit être renforcée.
