Безопасность · 17 октября 2026 г.
Также опубликовано на Português (Brasil), 한국어, 中文, Türkçe, Français, Español, Italiano, Nederlands, Polski, Deutsch, Norsk, Svenska
В официальном платежном плагине EC-CUBE обнаружена критическая уязвимость
В официальном платежном плагине AmazonPay для платформы EC-CUBE была выявлена уязвимость. Сообщается, что атаки с использованием этой бреши уже были зафиксированы.
Разработчик EC-CUBE опубликовал уведомление 14 октября 2026 года, раскрыв детали уязвимости под идентификатором CVE-2026-103671. Эта проблема связана с процессом перенаправления в плагине AmazonPay для версии EC-CUBE 4. Злоумышленники могут контролировать веб-параметры извне, которые должны оставаться неизменными. Это позволяет перенаправлять пользователей на произвольные веб-сайты во время оформления заказа, что может привести к краже данных учетных записей.
Компания EC-CUBE оценила уровень срочности как высокий. Согласно системе оценки CVSSv4.0 на портале JVN, базовый балл составляет 5.3, а по версии CVSSv3.0 балл равен 4.7.
Организация JPCERT/CC скоординировала публикацию этой информации после получения отчета от EC-CUBE. Пользователям рекомендуется обновить систему до последней версии. Для версий 1.2.9 и более ранних в выпуске с поддержкой CV1 обновление до версии 1.3.1 невозможно, поэтому настоятельно рекомендуется переход на версию с поддержкой CV2.