「EC-CUBE」に脆弱性、クレカ情報流出被害も - 早急に更新や攻撃有無の確認を

イーシーキューブが提供するeコマースプラットフォーム「EC-CUBE 4.0系」に脆弱性が明らかとなった。すでに脆弱性の悪用によるクレジットカード情報の流出被害も発生しており、非常に緊急度が高い脆弱性として早急に対応するよう呼びかけられている。

「同4.0.5」および以前のバージョンに「クロスサイトスクリプティング（XSS）」の脆弱性「CVE-2021-20717」が明らかとなったもの。

攻撃者が特定の入力欄にスクリプトを入力することで、管理者のブラウザにおいて任意のスクリプトを実行され、情報流出や不正な操作が行われるおそれがある。共通脆弱性評価システム「CVSSv3.0」におけるベーススコアは「7.1」。

すでに複数のサイトで脆弱性に対する攻撃が観測されており、クレジットカード情報が流出するケースも確認されているという。

イーシーキューブでは、セキュリティアドバイザリにおいて脆弱性の緊急度を「高」とレーティングし、「非常に緊急度が高い脆弱性」であることを強調。利用者へ早急に対応するよう呼びかけた。

（Security NEXT - 2021/05/10 ）ツイート