EC-CUBEのAmazonPayプラグインに脆弱性、悪用を確認

やること

EC-CUBE は、ネット通販サイトを作るための国産のソフトです。EC-CUBE 4系で公式の AmazonPay プラグインを使っている場合は、プラグインを最新版へ更新してください。

• CV1版の v1.2.9 以前からは、最新の v1.3.1 へ更新できません。イーシーキューブは CV2版への移行を強く勧めています
• 修正の詳しい手順は、イーシーキューブの詳細ページにあります。詳細ページを見るには、EC-CUBE 公式サイトへのログインが必要です
• クラウド版の ec-cube.co は、開発元の側で修正済みです

何が危ないのか

イーシーキューブは10月14日に、AmazonPay プラグインのリダイレクト処理の欠陥を公表しました。CVE 番号は CVE-2026-103671 です。

JVN によると、本来は書き換えられない前提の値を外から改変できます。その結果、注文手続きの途中で、攻撃者が用意した別のサイトへ移されるおそれがあります。アカウント情報などを盗まれる危険もあります。

イーシーキューブはこの件の危険度を「高」としています。理由として、不正な管理者アカウントを登録され、管理画面にログインされるおそれを挙げています。JVN によると、開発元はこの欠陥を悪用した攻撃をすでに確認しています。

CVSS は v4.0 で 5.3、v3.0 で 4.7 と低めです。ただし悪用が確認されているため、早めの対応が必要です。

対象

対象の版は上の表のとおりです。CV2版の修正後の版番号は、公開のお知らせには書かれていません。