Allvarlig sårbarhet upptäckt i EC-CUBEs AmazonPay-plugin

MacBook Pro on top of brown table — Kari Shea / Unsplash

En kritisk sårbarhet har identifierats i den officiella AmazonPay-pluginet för EC-CUBE-plattformen. Säkerhetsforskare har bekräftat att sårbarheten utnyttjas aktivt i attacker. Plattformstillverkaren uppmanar användare att vidta akut åtgärder för att skydda sina system.

Sårbarheten identifierades med CVE-identifieraren CVE-2026-103671 och påverkar AmazonPay-pluginet som tillhandahålls för EC-CUBE 4. En webparametern som ska förblir oförändrad kan styras externt, vilket gör att användare kan tvingas omdirigeras till valfri webbplats under orderprocessen. Detta kan leda till att kontoinformation och annan känslig data stjälas.

IeCub, utvecklaren av plattformen, har klassificerat sårbarhetsgraden som hög. Än så länge har attacker bekräftats i verklig miljö. Den gemensamma sårbarhetsbedömningssystemet CVSSv4.0 tilldelar en baspoäng på 5.3, medan CVSSv3.0 anger 4.7.

JPCERT/CC, som fick informationen från IeCub, pågår med koordinering för offentliggörande. Användare uppmanas att uppdatera till den senaste versionen. Äldre versioner som CV1-versionen 1.2.9 eller tidigare kan inte uppdateras till den nya versionen 1.3.1, och migrering till CV2-versionen rekommenderas starkt.