独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月14日、EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
・CV2版
AmazonPay V2プラグイン（4.0/4.1系）v1.1.7からv1.1.12
AmazonPay V2プラグイン（4.0/4.1系）v1.0.0からv1.1.6
AmazonPay V2プラグイン（4.2/4.3系）v4.3.1（バンドル版）
AmazonPay V2プラグイン（4.2/4.3系）v4.2.3からv4.3.1
AmazonPay V2プラグイン（4.2/4.3系）v4.2.0からv4.2.2
・CV1版
AmazonPayプラグイン v1.3.0およびそれ以前のバージョン（4.0系）
株式会社イーシーキューブが提供するEC-CUBE4系用プラグイン「AmazonPayプラグイン」には、不変と想定しているWebパラメータの外部制御の脆弱性（CVE-2026-103671）が存在し、注文手続き中に任意のウェブサイトにリダイレクトされ、その結果、アカウント情報などを窃取される可能性がある。
開発者では既に、本脆弱性を悪用した攻撃を確認している。
JVNでは、開発者が提供する情報をもとにパッチを適用するよう呼びかけている。
