Уязвимость в Commerce Escrow позволяет подделать уведомление платёжного сервиса: неоплаченный заказ в магазине на Drupal Commerce выглядит оплаченным. В части модулей также устранены проблемы с внедрением чужого кода.
Исправления относятся к нескольким модулям, расширяющим ядро Drupal. Обход проверки прав затрагивает подделку вебхуков Escrow, а межсайтовый скриптинг (XSS) позволяет внедрять чужой код.