Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「EC-CUBE」に脆弱性 - 危険度は「低」

イーシーキューブが提供するオープンソースのeコマースプラットフォーム「EC-CUBE」に脆弱性が明らかとなった。対策やパッチがアナウンスされている。

「HTTP Hostヘッダ」の処理に脆弱性「CVE-2022-25355」が明らかとなったもの。「EC-CUBE 4.1.1」「同3.0.18-p3」および以前のバージョンが影響を受ける。

リクエストのHostヘッダを改変することで、不正なURLが生成され、URLの一部が改ざんされたパスワード再発行用のメールが送信されるおそれがあるという。

開発元のイーシーキューブでは、脆弱性の危険度を「低」とレーティング。またJVNでは共通脆弱性評価システム「CVSSv3.0」のベーススコアを「3.1」と評価している。

同4系では、「同4.1.2」へアップデートの上、設定を変更するようアナウンスしている。また同3系には、「同3.0.18-p3」向けにパッチがリリースされた。

(Security NEXT - 2022/02/22 ) このエントリーをはてなブックマークに追加

PR

関連記事

「サイバー防衛シンポ熱海2022」が8月に開催 - 露烏戦争から見るサイバー戦
HPE Crayスーパーコンピューターに深刻な脆弱性 - アップデートで修正
MS、「Microsoft Edge 103.0.1264.37」で独自修正した脆弱性を追加 - 評価の逆転現象も
小学校で児童の画像含むカメラなどを紛失 - 横須賀市
日経BPの医療関係者向けサイトに不正アクセス - ギフトコードの不正読み取りも
尼崎市USBメモリ紛失、関係者は再々委託先 - BIPROGY「あくまで責任は弊社」
全住民情報を委託先が紛失、飲食後路上で眠り込みカバンなくす - 尼崎市
顧客情報記載の書類が所在不明、誤廃棄の可能性 - 広島県信用組合
グループ海外拠点でランサム被害、情報共有に時間要す - トヨタ紡織
国家関与の攻撃グループ、早期より「VMware Horizon」「UAG」の「Log4Shell」を標的に