В сети уже эксплуатируют обход контроля доступа в Commerce Core
Обход контроля доступа в модуле Commerce Core для Drupal применяют в реальных атаках. Модуль не проверяет права на часть маршрутов и полей сущностей, поэтому посетитель получает данные и действия, которые ему не положены.
