Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「EC-CUBE」向け決済モジュールに複数脆弱性

eコマースサイト向けコンテンツマネジメントシステム(CMS)の「EC-CUBE」向けに提供されている決済モジュール「ルミーズ決済モジュール」に複数の脆弱性が含まれていることが明らかとなった。

脆弱性情報のポータルサイトであるJVNによれば、ルミーズが「EC-CUBE 2.13」「同2.12」「同2.11」に提供する「ルミーズ決済モジュール3.0.12」にクロスサイトスクリプティング(XSS)の脆弱性「CVE-2019-6016」や、情報漏洩の脆弱性「CVE-2019-6017」が明らかとなったもの。

モジュールの一部機能が悪用され、ウェブブラウザ上で任意のスクリプトを実行されたり、製品に登録されている情報を取得されるおそれがある。

管理者権限やログインの有無にかかわらず、誰でも攻撃可能が可能。会員の登録有無にかかわらず、注文を行ったことがあるユーザーが被害を受けるおそれがあるという。また同モジュール利用環境では他決済方法にも影響を及ぼすおそれがある。

同脆弱性は、三井物産セキュアディレクションの佐藤元氏が情報処理推進機構(IPA)へ報告したもので、JPCERTコーディネーションセンターが調整を実施。ルミーズでは、脆弱性を修正した「同3.0.13」をリリースしており、アップデートを呼びかけている。

(Security NEXT - 2019/10/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

ファッションブランド「MACHATT」の通販サイトに不正アクセス
しまむら、サイバー攻撃でシステム障害 - 全店舗の一部サービスに影響
フィッシングサイト、4月だけで1万件超 - 「au」の悪用報告が4.5倍に
栃木の名産品通販サイトに不正アクセス - クレカ情報流出の可能性
ヘルメットや安全標識を扱う2サイトに不正アクセス
「FamiPay」装うフィッシングメール - 「緊急連絡」「本人確認」など件名さまざま
決済サービス「d払い」などで「3Dセキュア」が一時利用不能に
化粧品通販サイトに不正アクセス - クレカ情報流出の可能性
カーパーツショップに不正アクセス - クレカ情報が流出
「Suicaのオートチャージが無効」と不安煽るフィッシング