EC-CUBE4系用プラグイン「AmazonPayプラグイン」における脆弱性の報告
3行でわかる
01何が起きたEC-CUBE4系用プラグイン「AmazonPayプラグイン」に脆弱性が発見された。
02注意すべき人・企業株式会社イーシーキューブが提供する「AmazonPayプラグイン」の利用者。
03今すぐの対策開発者が提供するパッチを適用することを推奨。
概要
株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、不変と想定しているWebパラメータの外部制御の脆弱性が存在します。
影響を受ける製品
- CV2版
- AmazonPay V2プラグイン（4.0/4.1系）v1.1.7からv1.1.12
- AmazonPay V2プラグイン（4.0/4.1系）v1.0.0からv1.1.6
- AmazonPay V2プラグイン（4.2/4.3系）v4.3.1（バンドル版）
- AmazonPay V2プラグイン（4.2/4.3系）v4.2.3からv4.3.1
- AmazonPay V2プラグイン（4.2/4.3系）v4.2.0からv4.2.2
- CV1版
- AmazonPayプラグイン v1.3.0およびそれ以前のバージョン（4.0系）
想定される影響・悪用状況
注文手続き中に任意のウェブサイトにリダイレクトされる可能性があり、その結果、アカウントアカウント：利用者を特定するためのID。詳しく見る →情報などを窃取される可能性があります。開発者によると、本脆弱性を悪用した攻撃が既に確認されています。
深刻度
不変と想定しているWebパラメータの外部制御（CWE-472）
- CVSS基本値：5.3
- CVSS基本値：4.7
対策
パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。
※本記事は、公的機関が公開した情報をもとにSECURITY DRIVE編集部が要約・解説したものです。正確な内容は出典の一次情報をご確認ください。