EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」に脆弱性 | ScanNetSecurity
2022.09.26(月)

EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」に脆弱性

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は9月15日、EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」における脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性

 独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は9月15日、EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」における脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

・EC-CUBE における複数の脆弱性
CVE-2022-40199
EC-CUBE 3.0.0 から 3.0.18-p4 まで (EC-CUBE 3系)
EC-CUBE 4.0.0 から 4.1.2 まで (EC-CUBE 4系)

CVE-2022-38975
EC-CUBE 4.0.0 から 4.1.2 まで (EC-CUBE 4系)

・EC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」におけるアップロードファイルの検証不備の脆弱性
商品画像一括アップロードプラグイン 1.0.0
商品画像一括アップロードプラグイン 4.1.0

 株式会社イーシーキューブが提供する EC-CUBE には、下記の複数の脆弱性が存在する。

・ディレクトリトラバーサル(CVE-2022-40199)
→当該製品の管理者権限を取得した攻撃者によって、システムのディレクトリ構成が漏えいする

・DOM ベースのクロスサイトスクリプティング(CVE-2022-38975)
→攻撃者が当該製品の管理者を細工したページに誘導し、特定の操作を実行させることで、管理者のWebブラウザ上で任意のスクリプトが実行される

 また、株式会社イーシーキューブが提供する EC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」には、アップロードファイルの検証不備の脆弱性が存在し、本脆弱性を悪用することで画像ファイル以外の任意のファイルをアップロードすることが可能となる。

 JVNでは、開発者が提供する情報をもとに、最新版へアップデートするかパッチを適用するよう呼びかけている。

《ScanNetSecurity》

関連記事

特集

PageTop

アクセスランキング

  1. 「ニトリアプリ」にパスワードリスト型攻撃、約13万2,000アカウントが閲覧された可能性

    「ニトリアプリ」にパスワードリスト型攻撃、約13万2,000アカウントが閲覧された可能性

  2. ダイナムジャパンホールディングスのサーバにランサムウェア攻撃、社内システムに障害

    ダイナムジャパンホールディングスのサーバにランサムウェア攻撃、社内システムに障害

  3. 警察庁が2022年上半期のランサムウェア被害状況を調査、調査・復旧費用は1,000万円以上が55%を占める

    警察庁が2022年上半期のランサムウェア被害状況を調査、調査・復旧費用は1,000万円以上が55%を占める

  4. 不正アクセスでジブリパークから個人情報が漏えい、金銭の要求も確認

    不正アクセスでジブリパークから個人情報が漏えい、金銭の要求も確認

  5. 元社員が営業秘密不正持ち出し、不正競争防止法違反容疑で逮捕

    元社員が営業秘密不正持ち出し、不正競争防止法違反容疑で逮捕

  6. セキュアワークス三科涼が提案する「XDR」というバズワードに惑わされないたったひとつの方法

    セキュアワークス三科涼が提案する「XDR」というバズワードに惑わされないたったひとつの方法PR

  7. 日本盛のサーバに不正アクセス、社内システムで障害発生

    日本盛のサーバに不正アクセス、社内システムで障害発生

  8. 拝啓IT業界 脆弱性無きコードを書け ホワイトハウス拝

    拝啓IT業界 脆弱性無きコードを書け ホワイトハウス拝

  9. 「情報セキュリティ2012」を決定、環境変化への対応を盛り込む(NISC)

    「情報セキュリティ2012」を決定、環境変化への対応を盛り込む(NISC)

  10. 7月のフィッシング報告状況、「.cn ドメイン」のフィッシングメールを多く確認

    7月のフィッシング報告状況、「.cn ドメイン」のフィッシングメールを多く確認

ランキングをもっと見る