Sicurezza · 17 ottobre 2026
Pubblicato anche in Português (Brasil), 한국어, 中文, Türkçe, Français, Español, Nederlands, Polski
Scoperta vulnerabilità nel plugin AmazonPay di EC-CUBE
È stata rivelata una vulnerabilità nel plugin ufficiale di pagamento "AmazonPay" per "EC-CUBE". Attacchi che sfruttano questa vulnerabilità sono già stati confermati, e si invita a prendere misure urgenti.
Il produttore, EC-CUBE, ha pubblicato un advisory il 14 ottobre 2026, chiarendo i dettagli sulla vulnerabilità identificata come "CVE-2026-103671". Nello stesso giorno, il portale di informazioni sulle vulnerabilità JVN ha anche segnalato la necessità di un intervento urgente.
La vulnerabilità "CVE-2026-103671" riguarda un problema di gestione dei reindirizzamenti per il plugin "AmazonPay" disponibile per "EC-CUBE 4". Si segnala che i parametri web, sebbene non modificati, possono essere controllati da fonti esterne, portando a un possibile reindirizzamento verso siti web non autorizzati durante il processo di ordinazione, con il rischio di furto di informazioni riservate, come i dati degli account.
EC-CUBE ha valutato l'urgenza della situazione come "alta". Già si sono verificati attacchi che sfruttano questa vulnerabilità. Il punteggio base nel sistema di valutazione delle vulnerabilità "CVSSv4.0" è di "5.3", mentre per "CVSSv3.0" è di "4.7".
JPCERT/CC, dopo aver ricevuto il report da EC-CUBE, sta effettuando le necessarie regolazioni per la pubblicazione. Si raccomanda di aggiornare alla versione più recente. Le versioni precedenti alla "1.2.9" non possono essere aggiornate alla versione "1.3.1", e si consiglia fortemente di passare alla "versione CV2".