Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「EC-CUBE」向け決済モジュールに複数脆弱性

eコマースサイト向けコンテンツマネジメントシステム(CMS)の「EC-CUBE」向けに提供されている決済モジュール「ルミーズ決済モジュール」に複数の脆弱性が含まれていることが明らかとなった。

脆弱性情報のポータルサイトであるJVNによれば、ルミーズが「EC-CUBE 2.13」「同2.12」「同2.11」に提供する「ルミーズ決済モジュール3.0.12」にクロスサイトスクリプティング(XSS)の脆弱性「CVE-2019-6016」や、情報漏洩の脆弱性「CVE-2019-6017」が明らかとなったもの。

モジュールの一部機能が悪用され、ウェブブラウザ上で任意のスクリプトを実行されたり、製品に登録されている情報を取得されるおそれがある。

管理者権限やログインの有無にかかわらず、誰でも攻撃可能が可能。会員の登録有無にかかわらず、注文を行ったことがあるユーザーが被害を受けるおそれがあるという。また同モジュール利用環境では他決済方法にも影響を及ぼすおそれがある。

同脆弱性は、三井物産セキュアディレクションの佐藤元氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施。ルミーズでは、脆弱性を修正した「同3.0.13」をリリースしており、アップデートを呼びかけている。

(Security NEXT - 2019/10/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

寝具通販サイトに不正アクセス - 情報流出の可能性
林業機械の通販サイトに不正アクセス - クレカ情報流出の可能性
服飾品に不正アクセス - クレカ情報流出の可能性
顔認証決済の自販機を実証実験 - ダイドードリンコ
牡蠣の通販サイトに不正アクセス - クレカ情報流出の可能性
産業機器通販サイトに不正アクセス - クレカ情報流出の可能性
SMS認証に入力画面の判別機能 - PayPay
セブンのバーコード決済など一時障害 - ネットワーク設定不備で
マイナポイント、約6割が利用したい - 根強い不信感も
ファッション通販サイトへの不正アクセス、流出件数修正