「EC-Orange」は、オープンソースソフトウェア「EC-CUBE」をベースに独自カスタマイズしたECサイト構築システムパッケージ。影響を受けるシステムは以下の通り。
・2015年6月29日より前にEC-Orangeを導入したシステム
このシステムには、認可回避の脆弱性(CVE-2014-0808)が存在する。CVSS v3による基本値は4.3。これはJVN#51770585で公表された「EC-CUBE における認可回避の脆弱性」と同じ問題となる。
この脆弱性の影響を受けるサイトにログインしたユーザーが、細工したHTTPリクエストを送ることによって、他のユーザーの登録情報を取得する可能性がある。
JVNでは、開発者が提供する情報をもとに、最新版へアップデートもしくは修正ファイルを適用するよう呼びかけている。2015年6月29日およびそれ以降にEC-Orangeを導入したシステムについては対策済みとなっている。