Beveiliging · 17 oktober 2026
EC-CUBE AmazonPay-plugin vertoont urgente kwetsbaarheid
De officiële betalingsplugin van EC-CUBE, de AmazonPay-plugin, heeft een kwetsbaarheid aan het licht gebracht. Er zijn aanvallen bevestigd die deze kwetsbaarheid uitbuiten, en er wordt dringend gevraagd om maatregelen te nemen.
De ontwikkelaar, EC-CUBE, heeft op 14 oktober 2026 een adviserende mededeling gepubliceerd over de kwetsbaarheid met de naam CVE-2026-103671. Op dezelfde dag is deze kwetsbaarheid ook gepresenteerd als urgent op de kwetsbaarheidsinformatieportal JVN.
CVE-2026-103671 betreft een kwetsbaarheid in de redirectverwerking van de AmazonPay-plugin die beschikbaar is voor EC-CUBE 4. Deze kwetsbaarheid stelt aanvallers in staat om webparameters van buitenaf te controleren, wat kan leiden tot een redirect naar een ongewenste website tijdens het bestelproces, met het risico dat accountinformatie wordt gestolen.
EC-CUBE heeft de urgentie van deze kwetsbaarheid beoordeeld als hoog. Er zijn reeds aanvallen vastgesteld die deze kwetsbaarheid uitbuiten. De basis score van de kwetsbaarheid volgens het Common Vulnerability Scoring System (CVSSv4.0) is vastgesteld op 5.3, terwijl CVSSv3.0 een score van 4.7 heeft.
Na rapportage door EC-CUBE heeft JPCERT/CC maatregelen genomen om publicatie voor te bereiden. Er wordt opgeroepen tot een update naar de laatste versie. Versies vóór de CV1-compatibele versie 1.2.9 kunnen niet worden bijgewerkt naar de nieuwste versie 1.3.1, en overgangen naar de CV2-compatibele versie worden sterk aanbevolen.