注文手続き中のリダイレクトに脆弱性
EC-CUBE 4向けの公式「AmazonPayプラグイン」に、外部からWebパラメータを操作される脆弱性が見つかりました。注文手続き中に任意のWebサイトへ転送され、アカウント情報などを盗まれるおそれがあります。脆弱性を悪用する攻撃もすでに確認されています。
脆弱性の識別番号は「CVE-2026-103671」です。変更されない想定のパラメータを外部から操作できることが原因で、攻撃者がリダイレクト先を指定できる可能性があります。
開発元のイーシーキューブは危険度を「高」と評価しました。JVNにも2026年10月14日に情報が公開され、開発元から報告を受けたJPCERT/CCが公表に向けた調整を行っています。
CV1・CV2の複数バージョンが対象
影響するのは、EC-CUBE 4系で利用するCV1版とCV2版のAmazon Payプラグインです。CV2版は4.0／4.1系のv1.0.0からv1.1.12、4.2／4.3系のv4.2.0からv4.3.1が対象です。
4.2／4.3系にはバンドル版のv4.3.1も含まれます。CV1版はEC-CUBE 4.0系のv1.3.0以前が影響対象です。
クラウド版「ec-cube.co」は、イーシーキューブによると修正済みです。それ以外の環境では、該当する版を利用している場合に修正対応が必要です。
CVSSの数値と開発元の「高」評価
JVNが公表したCVSSのベーススコアは、v4.0が5.3、v3.0が4.7です。CVSSは脆弱性の深刻度を0から10の数値で評価する枠組みです。スコア区分では4.0から6.9が「Medium」に当たります。
5.3と4.7はいずれもスコア区分上は「Medium」です。一方、イーシーキューブは、不正な管理者アカウントを登録され、管理画面へログインされるおそれを理由に危険度を「高」と評価しています。
修正版への更新とCV1利用者の移行
イーシーキューブは、公式プラグインを最新版へ更新すると脆弱性が修正されると案内しています。CV1版のv1.2.9以前は最新版v1.3.1へ直接更新できないため、CV2版への移行を強く推奨しています。
CV1版では、対象範囲にv1.3.0も含まれます。そのため、v1.2.9以前に加え、CV1版のv1.3.0も影響を受けます。
