Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「EC-CUBE」向け決済モジュールに複数脆弱性

eコマースサイト向けコンテンツマネジメントシステム(CMS)の「EC-CUBE」向けに提供されている決済モジュール「ルミーズ決済モジュール」に複数の脆弱性が含まれていることが明らかとなった。

脆弱性情報のポータルサイトであるJVNによれば、ルミーズが「EC-CUBE 2.13」「同2.12」「同2.11」に提供する「ルミーズ決済モジュール3.0.12」にクロスサイトスクリプティング(XSS)の脆弱性「CVE-2019-6016」や、情報漏洩の脆弱性「CVE-2019-6017」が明らかとなったもの。

モジュールの一部機能が悪用され、ウェブブラウザ上で任意のスクリプトを実行されたり、製品に登録されている情報を取得されるおそれがある。

管理者権限やログインの有無にかかわらず、誰でも攻撃可能が可能。会員の登録有無にかかわらず、注文を行ったことがあるユーザーが被害を受けるおそれがあるという。また同モジュール利用環境では他決済方法にも影響を及ぼすおそれがある。

同脆弱性は、三井物産セキュアディレクションの佐藤元氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施。ルミーズでは、脆弱性を修正した「同3.0.13」をリリースしており、アップデートを呼びかけている。

(Security NEXT - 2019/10/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

水産加工品通販サイトに不正アクセス - クレカ情報が流出
IPAが「10大脅威2020」を発表 - 「内部不正」「IT基盤の障害」など順位上昇
ペット用品通販サイトでクレカ情報流出 - 決済停止後にも被害
バイク用品通販サイトに不正アクセス - クレカ情報流出の可能性
ベーグル店に不正アクセス - クレカ情報流出の可能性
通販サイトに不正アクセス、個人情報流出の可能性 - 現代ギター社
ジャパンシステム、セキュリティ事業を両備システムズへ譲渡
「7pay不正アクセス事件」は約6割が認知 - 「スミッシング」は3割届かず
ラブホテル検索サービスに不正アクセス - PW流出か
衣料品通販サイトに不正アクセス - カード情報流出の可能性