JVN#43511918
EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性
緊急

株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、不変と想定しているWebパラメータの外部制御の脆弱性が存在します。

• CV2版
  • AmazonPay V2プラグイン（4.0/4.1系）v1.1.7からv1.1.12
  • AmazonPay V2プラグイン（4.0/4.1系）v1.0.0からv1.1.6
  • AmazonPay V2プラグイン（4.2/4.3系）v4.3.1（バンドル版）
  • AmazonPay V2プラグイン（4.2/4.3系）v4.2.3からv4.3.1
  • AmazonPay V2プラグイン（4.2/4.3系）v4.2.0からv4.2.2
• CV1版
  • AmazonPayプラグイン v1.3.0およびそれ以前のバージョン（4.0系）

株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、次の脆弱性が存在します。

• 不変と想定しているWebパラメータの外部制御（CWE-472）
  • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N 基本値 5.3
  • CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N 基本値 4.7
  • CVE-2026-103671

注文手続き中に任意のウェブサイトにリダイレクトされる可能性があります。その結果、アカウント情報などを窃取される可能性があります。

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。