「EC-CUBE」に脆弱性 - 危険度は「低」

イーシーキューブが提供するオープンソースのeコマースプラットフォーム「EC-CUBE」に脆弱性が明らかとなった。対策やパッチがアナウンスされている。

「HTTP Hostヘッダ」の処理に脆弱性「CVE-2022-25355」が明らかとなったもの。「EC-CUBE 4.1.1」「同3.0.18-p3」および以前のバージョンが影響を受ける。

リクエストのHostヘッダを改変することで、不正なURLが生成され、URLの一部が改ざんされたパスワード再発行用のメールが送信されるおそれがあるという。

開発元のイーシーキューブでは、脆弱性の危険度を「低」とレーティング。またJVNでは共通脆弱性評価システム「CVSSv3.0」のベーススコアを「3.1」と評価している。

同4系では、「同4.1.2」へアップデートの上、設定を変更するようアナウンスしている。また同3系には、「同3.0.18-p3」向けにパッチがリリースされた。

（Security NEXT - 2022/02/22 ）ツイート