「osCommerce Online Merchant」に不正な決済情報で商品を購入される脆弱性（JVN）
IPAおよびJPCERT/CCは、「osCommerce Online Merchant」に「PayPal Website Payments Standard」アドオンを使用している場合に、検証不備の脆弱性が存在すると「JVN」で発表した。
脆弱性と脅威
セキュリティホール・脆弱性
「osCommerce Online Merchant v2.3.4 より前のバージョン」「PayPal Website Payments Standard v1.1 より前のバージョン」には、決済に関する情報の検証に不備（CVE-2012-2991）が存在する。この問題が悪用されると、不正な決済情報で商品購入手続きを行われる可能性がある。現時点で対策方法は公開されていないが、開発者によると本脆弱性を修正した「osCommerce Online Merchant v2.3.4」および「PayPal Website Payments Standard v1.1」を公開予定だという。なおJVNでは、PayPal Website Payments Standardの設定で「Encrypted Web Payments」を有効にすることで本問題の影響を軽減できるとしている。
![[Internet Week 2016] 厳選セキュリティセッション 第3回 「実践インシデント対応 ～事故から学ぶ～ 」 日本シーサート協議会 庄司 朋隆 氏](/imgs/p/VBQCg88_AM0-DSZSF4-0dQsJwAfOBQQDAgEA/21309.jpg)
