Sicherheit · 17. Oktober 2026
Auch veröffentlicht auf Português (Brasil), 한국어, 中文, Türkçe, Français, Español, Italiano, Nederlands, Polski, Norsk, Русский
EC-CUBE veröffentlicht dringende Schwachstelle im AmazonPay-Plugin
Die offizielle Zahlungs-Plugin von EC-CUBE, das AmazonPay-Plugin, weist eine Schwachstelle auf. Angriffe, die diese Schwachstelle ausnutzen, wurden bereits festgestellt, und es wird dringend zu Maßnahmen geraten.
Der Entwickler, EC-CUBE, veröffentlichte am 14. Oktober 2026 ein Advisory zu der Schwachstelle mit der Kennung CVE-2026-103671. Am gleichen Tag wurde die Schwachstelle auch auf dem Informationsportal JVN als kritisch eingestuft.
CVE-2026-103671 betrifft eine Schwachstelle in der Weiterleitungsbehandlung des AmazonPay-Plugins, das für EC-CUBE 4 bereitgestellt wird. Unveränderte Webparameter können von außen kontrolliert werden, was dazu führen kann, dass Nutzer während des Bestellvorgangs auf beliebige Webseiten weitergeleitet werden und ihre Kontoinformationen gestohlen werden.
EC-CUBE bewertet die Dringlichkeit als hoch. Bereits bestätigte Angriffe, die die Schwachstelle ausnutzen, sind dokumentiert. Der Basiswert im gemeinsamen Schwachstellenbewertungssystem CVSSv4.0 beträgt 5.3, während der Wert im CVSSv3.0 bei 4.7 liegt.
JPCERT/CC, das über die Schwachstelle informiert wurde, arbeitet an einer öffentlichen Bekanntmachung. Nutzer werden aufgefordert, auf die neueste Version zu aktualisieren. Es wird dringend empfohlen, auf die „CV2-kompatible“ Version umzusteigen, da frühere Versionen, die mit „CV1“ ausgestattet sind, nicht aktualisiert werden können.