脅威動向 2026-10-15（木）配信

EC-CUBE公式AmazonPayプラグインに脆弱性、すでに悪用も

EC-CUBE 4向け「AmazonPayプラグイン」にリダイレクト処理に関する脆弱性CVE-2026-103671が判明しました。すでに悪用が確認されており、開発元のイーシーキューブやJVNが対策を呼びかけています。

脅威の概要

EC-CUBE 4向け「AmazonPayプラグイン」におけるリダイレクト処理に関する脆弱性（CVE-2026-103671）です。外部から制御可能なウェブパラメータを悪用され、注文手続き中に任意のウェブサイトへリダイレクトさせられてアカウント情報などを窃取されるおそれがあり、すでに悪用が確認されています。

主要なTTP

変更されないことを前提としたウェブパラメータの外部制御

注文手続き中の任意のウェブサイトへのリダイレクト誘導

対象となる組織・利用者

EC-CUBE 4向け「AmazonPayプラグイン」を導入している組織。

推奨される防御アクション

「AmazonPayプラグイン」を最新版へアップデートする

「CV1対応版」の「1.2.9」以前のバージョンを使用している場合は「CV2対応版」へ移行する

出典：https://www.security-next.com/191457

CVE-2026-103671 の経緯（2号）

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →