EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性

公開日：2026/10/14 最終更新日：2026/10/14

JVN#43511918
EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性
緊急

株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、不変と想定しているWebパラメータの外部制御の脆弱性が存在します。

CV2版

AmazonPay V2プラグイン（4.0/4.1系）v1.1.7からv1.1.12
AmazonPay V2プラグイン（4.0/4.1系）v1.0.0からv1.1.6
AmazonPay V2プラグイン（4.2/4.3系）v4.3.1（バンドル版）
AmazonPay V2プラグイン（4.2/4.3系）v4.2.3からv4.3.1
AmazonPay V2プラグイン（4.2/4.3系）v4.2.0からv4.2.2

CV1版

AmazonPayプラグイン v1.3.0およびそれ以前のバージョン（4.0系）

株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、次の脆弱性が存在します。

不変と想定しているWebパラメータの外部制御（CWE-472）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N 基本値 5.3
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N 基本値 4.7
CVE-2026-103671

開発者によると、本脆弱性を悪用した攻撃が既に確認されています。

注文手続き中に任意のウェブサイトにリダイレクトされる可能性があります。その結果、アカウント情報などを窃取される可能性があります。

パッチを適用する
開発者が提供する情報をもとに、パッチを適用してください。

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

株式会社イーシーキューブ

該当製品あり

2026/10/14

株式会社イーシーキューブ の告知ページ

この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-103671

JVN iPedia

JVNDB-2026-000150

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN43511918/