Drupal Commerce Core（プロジェクト名 commerce）は、組込みのカート・チェックアウトまたは API 連携の decoupled 構成で物販・サービス販売を担う。一部ルートとエンティティフィールドへの保護が不十分なため、アクセス迂回が成立し、ベンダー側の金銭的影響につながりうる。深刻度は Highly critical（21∕25）。実環境での悪用が確認されている。
- 対象: 2.41 未満、または 3.0.0 以上 3.3.13 未満。
- 影響: 認可外の操作経路。注文・決済まわりの不整合や損失。
3.x 系は Commerce Core 3.3.13 へ更新する。それより古い版系は Commerce Core 8.x-2.41 へ上げる。実環境での悪用を踏まえ、サイト上の注文データに不整合がないか監査する。