ショッピングサイト構築システム「CS-Cart日本語版」に複数の脆弱性（JVN）

IPAおよびJPCERT/CCは、フロッグマンオフィスが提供するショッピングサイト構築システム「CS-Cart日本語版」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

2017.4.7 Fri 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は4月6日、有限会社フロッグマンオフィスが提供するショッピングサイト構築システム「CS-Cart日本語版」に複数の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3による最大Base Scoreは5.3。三井物産セキュアディレクションの廣田一貴氏が報告を行った。

「CS-Cart日本語版スタンダード版 v4.3.10 およびそれ以前（v2系、v3系は除く）」「CS-Cart日本語版マーケットプレイス版 v4.3.10 およびそれ以前（v2系、v3系は除く）」には、クロスサイトリクエストフォージェリ（CVE-2017-2138）およびアクセス制限不備（CVE-2017-2139）の脆弱性が存在する。

この脆弱性が悪用されると、リモートの攻撃者に当該製品で作成されたWebサイトに登録されたユーザの住所や氏名を含む個人情報を取得されたり、当該製品で作成されたWebサイトにログインした状態のユーザが、細工されたページにアクセスした場合、意図しない商品を購入させられるされる可能性がある。JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》