「EC-CUBE」やプラグインに脆弱性 - 修正パッチが提供

イーシーキューブが提供する「EC-CUBE」やプラグインに脆弱性が明らかとなった。修正パッチが提供されている。

「EC-CUBE 4」系統において、プラグインインストール時の入力値チェックに脆弱性「CVE-2024-41924」が判明したもの。攻撃者が管理者権限を持つ場合に、任意のパッケージをインストールできるという。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「6.8」。イーシーキューブでは、「同4.2.3」「同4.1.2-p3」「同4.0.6-p4」向けにパッチを用意した。

またイーシーキューブが「EC-CUBE 4」向けに提供している「EC-CUBE Web API プラグイン」の「OAuth管理機能」にクロスサイトスクリプティング（XSS）の脆弱性「CVE-2024-41141」が明らかとなっている。

CVSS基本値は、「4.8」と評価されており、アップデートが提供されている。

（Security NEXT - 2024/08/07 ）ツイート