脅威動向 2026-10-16（金）配信

⚠️ [継続注意] EC-CUBE用AmazonPayプラグインに脆弱性

📰 過去報告：10/15

JPCERT/CCおよびIPAは、EC-CUBE4系用の「AmazonPayプラグイン」におけるWebパラメータの外部制御に関する脆弱性（CVE-2026-103671）についてJVNで発表しました。注文手続き中に任意のウェブサイトへリダイレクトされ、アカウント情報などが窃取されるおそれがあり、既に悪用も確認されています。

10/15 報告の「AmazonPayプラグイン」の脆弱性（CVE-2026-103671）について、既に悪用が確認されています。利用環境では早急な対応を推奨します。

脅威の概要

EC-CUBE4系用プラグイン「AmazonPayプラグイン」における、不変と想定しているWebパラメータの外部制御の脆弱性（CVE-2026-103671）です。注文手続き中に任意のウェブサイトへ誘導されることで、アカウント情報などが窃取されるおそれがあり、悪用も確認されています。

主要なTTP

注文手続き中の Web パラメータの外部制御による任意のウェブサイトへのリダイレクト誘導

リダイレクトを経由したアカウント情報などの窃取

対象となる組織・利用者

EC-CUBE4系用「AmazonPayプラグイン」を導入している組織・事業者。

推奨される防御アクション

開発者が提供する情報をもとに、「AmazonPayプラグイン」のパッチを適用する

出典：https://scan.netsecurity.ne.jp/article/2026/10/16/56471.html

CVE-2026-103671 の経緯（2号）

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →