独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月17日、CubeCartにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。三井物産セキュアディレクション株式会社の佐藤元氏が報告を行っている。影響を受けるシステムは以下の通り。
CubeCart 6.6.0より前のバージョン
CubeCart Limitedが提供するCubeCartには、下記の影響を受ける可能性がある複数の脆弱性が存在する。
・OSコマンドインジェクション（CVE-2026-21719）
→管理権限を持つユーザにより任意のOSコマンドが実行される
・SQLインジェクション（CVE-2026-34018）
→攻撃者により製品上で任意のSQLを実行させられる
・パストラバーサル（CVE-2026-35496）
→管理権限を持つユーザにより、本来アクセスできない上位のディレクトリのファイルが読み取られる
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、CubeCart 6.6.0で修正されている。
