JVN#46993816: EC-CUBE 2系におけるクロスサイトスクリプティングの脆弱性

株式会社イーシーキューブが提供する EC-CUBE 2系には、クロスサイトスクリプティングの脆弱性が存在します。

開発者によると、EC-CUBE 2.11.0より前のバージョンはすでにサポートが終了しているため、本脆弱性の有無は確認していないとのことです。

株式会社イーシーキューブが提供する EC-CUBE 2系には、管理画面の「メルマガ管理/テンプレート設定」および「商品管理/商品登録」にクロスサイトスクリプティング (CWE-79) の脆弱性が存在します。

管理画面にログイン可能な攻撃者によって、他の管理者または当該製品を使用しているサイトにアクセスした第三者のブラウザ上で任意のスクリプトを実行される可能性があります。

パッチを適用する
開発者が提供する情報をもとにパッチを適用してください。

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
株式会社イーシーキューブ	該当製品あり	2023/08/17	株式会社イーシーキューブの告知ページ

CVSS v3 CVSS:3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N

基本値: 4.8

CVSS v2 AV:N/AC:H/Au:S/C:N/I:P/A:N

基本値: 2.1

この脆弱性情報は、次の方が開発者に報告し、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 三井物産セキュアディレクション株式会社島峰泰平氏

JVN#46993816 EC-CUBE 2系におけるクロスサイトスクリプティングの脆弱性