EC-CUBE 官方支付插件出现紧急安全漏洞

EC-CUBE 的官方支付插件 AmazonPay 插件被发现存在安全漏洞。已经确认有攻击利用了该漏洞，呼吁尽快采取措施以应对该问题。

开发方イーシーキューブ于2026年10月14日发布了相关安全咨询，阐明了该漏洞 CVE-2026-103671 的具体情况。同日，该漏洞信息也在安全漏洞信息门户网站 JVN 上公布，要求进行紧急响应。

CVE-2026-103671 是针对 EC-CUBE 4 的 AmazonPay 插件中发现的与重定向处理相关的漏洞。该漏洞允许外部控制未修改的网页参数，可能导致在订单处理过程中重定向至任意网站，从而窃取账户信息等敏感数据。

イーシーキューブ将该漏洞的紧急程度评估为高（High）。已经有攻击利用了该漏洞。根据 JVN 的公共漏洞评估系统 CVSSv4.0，该漏洞的基础分数为 5.3，而 CVSSv3.0 的分数为 4.7。

收到イーシーキューブ的报告后，JPCERT/CC 正在进行公示的协调工作。呼吁进行最新版本的更新，对于 CV1 对应版的 1.2.9 之前的版本，无法更新至最新版本 1.3.1，强烈推荐迁移至 CV2 对应版。