Kritisk sårbarhet oppdaget i AmazonPay-plugin for EC-CUBE

assorted electric cables — John Barkiple / Unsplash

En sårbarhet har blitt avdekket i den offisielle betalingsplugin «AmazonPay-plugin» for «EC-CUBE». Det er bekreftet at angrep som utnytter denne sårbarheten har funnet sted, og det blir nå bedt om raske tiltak for å håndtere problemet.

Utviklerne hos EC-CUBE offentliggjorde en rådgivning den 14. oktober 2026. Sårbarheten, omtalt som «CVE-2026-103671», er relatert til omdirigeringsprosessen i pluginen. Det er blitt identifisert at eksterne aktører kan kontrollere webparametere som antas å ikke bli endret, noe som kan føre til at brukere blir omdirigert til vilkårlige nettsteder under bestillingsprosessen, med risiko for å få stjålet kontoopplysninger.

EC-CUBE vurderer sårbarheten som «høy» alvorlighetsgrad. Angrep som utnytter sårbarheten har allerede blitt bekreftet. Den grunnleggende poengsummen for sårbarheten i det felles sårbarhetsvurderingssystemet «CVSSv4.0» er satt til «5.3», mens «CVSSv3.0» har en score på «4.7».

JPCERT/CC har fått rapporter fra EC-CUBE og gjennomfører nå tilpasninger for offentliggjøring. Det oppfordres til oppdatering til den nyeste versjonen. Versjoner før «1.2.9» av «CV1-tilpasset versjon» kan ikke oppdateres til den nyeste versjonen, og det anbefales sterkt å oppgradere til «CV2-tilpasset versjon».