EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」に脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月15日、EC-CUBE とEC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」における脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

・EC-CUBE における複数の脆弱性
CVE-2022-40199
EC-CUBE 3.0.0 から 3.0.18-p4 まで (EC-CUBE 3系)
EC-CUBE 4.0.0 から 4.1.2 まで (EC-CUBE 4系)

CVE-2022-38975
EC-CUBE 4.0.0 から 4.1.2 まで (EC-CUBE 4系)

・EC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」におけるアップロードファイルの検証不備の脆弱性
商品画像一括アップロードプラグイン 1.0.0
商品画像一括アップロードプラグイン 4.1.0

　株式会社イーシーキューブが提供する EC-CUBE には、下記の複数の脆弱性が存在する。

・ディレクトリトラバーサル（CVE-2022-40199）
→当該製品の管理者権限を取得した攻撃者によって、システムのディレクトリ構成が漏えいする

・DOM ベースのクロスサイトスクリプティング（CVE-2022-38975）
→攻撃者が当該製品の管理者を細工したページに誘導し、特定の操作を実行させることで、管理者のWebブラウザ上で任意のスクリプトが実行される

　また、株式会社イーシーキューブが提供する EC-CUBE 用プラグイン「商品画像一括アップロードプラグイン」には、アップロードファイルの検証不備の脆弱性が存在し、本脆弱性を悪用することで画像ファイル以外の任意のファイルをアップロードすることが可能となる。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするかパッチを適用するよう呼びかけている。