EC-CUBE'nin AmazonPay Eklentisinde Acil Güvenlik Açığı Tespit Edildi

group of people standing on brown floor — Creative Christians / Unsplash

EC-CUBE'nin resmi ödeme eklentisi olan AmazonPay eklentisinde bir güvenlik açığı tespit edildi. Bu açığın kötüye kullanıldığına dair saldırılar doğrulandı ve acilen önlem alınması gerektiği belirtiliyor.

Geliştirici firma olan EC-CUBE, 2026 yılının 14 Ekim'inde bir danışmanlık yazısı yayımladı. Güvenlik açığı CVE-2026-103671 olarak tanımlandı. Aynı gün, bu açığın acil müdahale gerektiren bir güvenlik sorunu olarak JVN isimli güvenlik açığı portalında da bilgi verildi.

CVE-2026-103671, EC-CUBE 4 için sağlanan AmazonPay eklentisinde bulunan bir yönlendirme işlemi ile ilgili bir güvenlik açığıdır. Dışarıdan kontrol edilebilen web parametreleri, sipariş süreci esnasında istenmeyen bir web sitesine yönlendirme yapılmasına olanak tanıyor ve bu durum hesap bilgileri gibi hassas verilerin çalınma riski taşıyor.

EC-CUBE, bu açığın aciliyetini yüksek olarak değerlendiriyor. Zaten güvenlik açığının kötüye kullanıldığına dair saldırılar da tespit edildi. JVN üzerindeki ortak güvenlik açığı değerlendirme sistemi CVSSv4.0 için temel puan 5.3, CVSSv3.0 için ise 4.7 olarak belirlendi.

EC-CUBE tarafından JPCERT/CC'ye yapılan bildirim sonrasında, kamuya açıklama için hazırlıklar başlatıldı. Kullanıcılara en son sürüme güncellemeleri öneriliyor. CV1 uyumlu sürüm olan 1.2.9'dan önceki versiyonların, en son sürüm olan 1.3.1'e güncellenemeyeceği belirtiliyor ve CV2 uyumlu sürüme geçiş yapılması kuvvetle tavsiye ediliyor.