「EC-CUBE」に脆弱性 - 危険度は「低」
イーシーキューブが提供するオープンソースのeコマースプラットフォーム「EC-CUBE」に脆弱性が明らかとなった。対策やパッチがアナウンスされている。
「HTTP Hostヘッダ」の処理に脆弱性「CVE-2022-25355」が明らかとなったもの。「EC-CUBE 4.1.1」「同3.0.18-p3」および以前のバージョンが影響を受ける。
リクエストのHostヘッダを改変することで、不正なURLが生成され、URLの一部が改ざんされたパスワード再発行用のメールが送信されるおそれがあるという。
開発元のイーシーキューブでは、脆弱性の危険度を「低」とレーティング。またJVNでは共通脆弱性評価システム「CVSSv3.0」のベーススコアを「3.1」と評価している。
同4系では、「同4.1.2」へアップデートの上、設定を変更するようアナウンスしている。また同3系には、「同3.0.18-p3」向けにパッチがリリースされた。
(Security NEXT - 2022/02/22 )
ツイート
関連リンク
PR
関連記事
ウェブサーバにバックドア、DBの個人情報が窃取被害 - 楽待
一部「SonicOS」のSSL VPNに脆弱性 - DoS攻撃のおそれ
「Chrome」にアップデート - セキュリティ関連の修正4件
「BentoML」に深刻な脆弱性 ─ ファイルアップロード処理に起因
2Qの脆弱性届出は99件 - ウェブサイト関連が倍増
SAML認証ライブラリ「Node-SAML」に再度深刻な脆弱性
「VMware vCenter」にDoS脆弱性 - アップデートをリリース
Instagramアカ乗っ取り、フォロワーにDM - ブライダル会社
海外拠点を直接支援するセキュサービスを拡充 - KDDIとラック
「PowerDNS Recursor」にDNSキャッシュポイズニングの脆弱性