「EC-CUBE 2」系にXSSの脆弱性 - 修正の実施を

イーシーキューブが提供する「EC-CUBE」に脆弱性が明らかとなった。パッチの適用が呼びかけられている。

「EC-CUBE 2.17.2-p1」から「同2.11.0」までのバージョンに「クロスサイトスクリプティング（XSS）」の脆弱性「CVE-2023-40281」が明らかとなったもの。

同脆弱性は、管理画面にある「メルマガ管理/テンプレート設定」や「商品管理/商品登録」に存在。悪用には管理画面にログインする権限が必要で、他管理者やサイトにアクセスした第三者のブラウザ上で任意のスクリプトの実行が可能になる。

イーシーキューブでは、脆弱性の危険度を「低」とした。JPCERTコーディネーションセンターは、共通脆弱性評価システム「CVSSv3.0」におけるベーススコアを「4.8」と評価している。

同脆弱性は、三井物産セキュアディレクションの島峰泰平氏が開発者へ報告。公表にあたりJPCERTコーディネーションセンターが調整を行った。

イーシーキューブは、同脆弱性による被害報告はないと説明。修正ファイルの適用によって容易に脆弱性を解消できるとして、すみやかに対応するよう利用者へ呼びかけている。

（Security NEXT - 2023/08/17 ）ツイート