Segurança · 16 de outubro de 2026
Vulnerabilidade crítica no plugin AmazonPay do EC-CUBE
Uma vulnerabilidade foi identificada no plugin oficial de pagamento AmazonPay do EC-CUBE. Ataques que exploram essa vulnerabilidade já foram confirmados, e os usuários estão sendo alertados a tomar medidas imediatamente.
O desenvolvedor EC-CUBE divulgou um aviso em 14 de outubro de 2026, detalhando a vulnerabilidade identificada como "CVE-2026-103671". No mesmo dia, o portal de informações sobre vulnerabilidades JVN também publicou um alerta sobre a necessidade de uma resposta urgente devido a essa falha.
A vulnerabilidade "CVE-2026-103671" refere-se a um problema no processamento de redirecionamento no plugin AmazonPay para o EC-CUBE 4. A falha permite que parâmetros da web, que não deveriam ser alterados, sejam controlados externamente. Isso pode resultar em redirecionamentos durante o processo de pedido para sites maliciosos, colocando em risco informações de contas dos usuários.
O EC-CUBE avaliou a gravidade da vulnerabilidade como "alta". Já foram confirmados ataques que exploram essa falha. O sistema de avaliação de vulnerabilidades JVN classifica a pontuação base desse problema como "5.3" na versão "CVSSv4.0" e "4.7" na "CVSSv3.0".
A JPCERT/CC, após receber o relatório do EC-CUBE, está realizando ajustes para a divulgação pública. Os usuários são incentivados a atualizar para a versão mais recente. Além disso, é fortemente recomendada a migração para a versão que corrige essa vulnerabilidade, pois versões anteriores à "1.3.1" não podem ser atualizadas.