Wykryto pilną podatność w oficjalnej wtyczce płatności EC-CUBE

blue and black digital wallpaper — Codioful (Formerly Gradienta) / Unsplash

Wtyczka płatności „AmazonPay” dla systemu „EC-CUBE” ujawniła poważną podatność. Potwierdzono ataki wykorzystujące tę podatność, co skłoniło do pilnego podjęcia działań zabezpieczających.

Producent, firma EC-CUBE, opublikował 14 października 2026 roku informację o zagrożeniu. Ujawniono szczegóły dotyczące podatności „CVE-2026-103671”. Tego samego dnia na portalu informacji o podatnościach JVN również opublikowano ostrzeżenie dotyczące tej krytycznej podatności.

„CVE-2026-103671” dotyczy problemu z przekierowaniem w wtyczce „AmazonPay” dla „EC-CUBE 4”. Istnieje ryzyko, że parametry webowe, które nie są zmieniane, mogą być kontrolowane z zewnątrz, co pozwala na przekierowywanie użytkowników do dowolnych stron internetowych w trakcie składania zamówienia, narażając ich dane konta na kradzież.

EC-CUBE ocenił pilność sytuacji jako „wysoką (High)”. Potwierdzono już ataki wykorzystujące tę podatność. Podstawowy wynik w systemie oceny podatności „CVSSv4.0” wynosi „5.3”, a w „CVSSv3.0”, „4.7”.

JPCERT/CC, który otrzymał raport od EC-CUBE, prowadzi prace nad publikacją informacji. Zachęca się do aktualizacji do najnowszej wersji. Wersje wcześniejsze niż „1.2.9” w odniesieniu do „CV1” nie mogą być aktualizowane do wersji „1.3.1”, co czyni migrację do wersji „CV2” silnie zalecaną.