Descubierta una vulnerabilidad crítica en el plugin de AmazonPay de EC-CUBE

pastel spheres on gradient background — Milad Fakurian / Unsplash

Se ha revelado una vulnerabilidad en el plugin oficial de pago de EC-CUBE, denominado plugin AmazonPay. Se han confirmado ataques que explotan esta vulnerabilidad, lo que ha llevado a la necesidad de implementar medidas de seguridad de manera urgente.

El desarrollador, EC-CUBE, publicó un aviso el 14 de octubre de 2026, detallando la vulnerabilidad identificada como CVE-2026-103671. El mismo día, el portal de información sobre vulnerabilidades, JVN, también publicó información sobre esta vulnerabilidad que requiere una respuesta urgente.

La vulnerabilidad CVE-2026-103671 está relacionada con un problema en el manejo de redirecciones en el plugin AmazonPay, que está diseñado para EC-CUBE 4. Se puede controlar un parámetro web desde el exterior, lo que permite redirigir a los usuarios a cualquier sitio web durante el proceso de pedido, con el riesgo de que se robe información de cuenta.

EC-CUBE ha evaluado la gravedad de esta vulnerabilidad como alta. Ya se han confirmado ataques que han explotado esta vulnerabilidad. Según el sistema de evaluación de vulnerabilidades comunes CVSSv4.0, la puntuación base es de 5.3, mientras que la de CVSSv3.0 es de 4.7.

JPCERT/CC, tras recibir el informe de EC-CUBE, está realizando ajustes para la publicación de la información. Se está instando a los usuarios a actualizar a la última versión. Se ha indicado que las versiones anteriores a la 1.2.9 del plugin no pueden actualizarse a la versión más reciente 1.3.1, y se recomienda encarecidamente la migración a la versión compatible CV2.