보안 · 2026년 10월 17일
다른 언어로도 게시됨 Português (Brasil)
「EC-CUBE」결제 플러그인에서 긴급 취약점 발견
「EC-CUBE」의 공식 결제 플러그인인 「AmazonPay 플러그인」에서 취약점이 발견되었다. 이 취약점을 악용한 공격이 이미 확인되었으며, 신속하게 대책을 마련할 것을 촉구하고 있다.
개발사인 이시큐브는 2026년 10월 14일에 자문을 발표하였다. 취약점 「CVE-2026-103671」에 대한 정보가 공개되었다. 같은 날, 취약점 정보 포털 사이트인 JVN에서도 긴급 대응이 요구되는 취약점으로 정보가 게시되었다.
「CVE-2026-103671」은 「EC-CUBE 4」용으로 제공되는 「AmazonPay 플러그인」의 리다이렉트 처리와 관련된 취약점이다.
변경되지 않은 웹 파라미터를 외부에서 제어할 수 있어, 주문 절차 중에 임의의 웹사이트로 리다이렉트되어 계정 정보 등을 탈취당할 우려가 있다는 것이다.
이시큐브는 이 취약점을 긴급도 「높음」으로 평가하고 있으며, 이미 취약점을 악용한 공격이 확인된 상황이다. JVN의 공통 취약점 평가 시스템 「CVSSv4.0」의 기준 점수는 「5.3」이며, 「CVSSv3.0」은 「4.7」로 평가되고 있다.
이시큐브로부터 보고를 받은 JPCERT/CC가 발표를 위한 조정을 진행 중이다. 최신 버전으로의 업데이트가 요청되고 있으며, 「CV1 대응판」의 「동 1.2.9」 이전 버전은 최신 버전인 「동 1.3.1」로 업데이트할 수 없다고 전해졌다. 따라서 「CV2 대응판」으로의 전환이 강력히 권장되고 있다.