独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月5日、EC-CUBEにおける多要素認証をバイパスされる脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


EC-CUBE 4.1系 4.1.2-p5より前のバージョン
EC-CUBE 4.2系 4.2.3-p2より前のバージョン
EC-CUBE 4.3系 4.3.1-p1より前のバージョン

　株式会社イーシーキューブが提供するEC-CUBEには、代替パスまたは代替チャネルを使用した認証回避の脆弱性（CVE-2026-30777）が存在し、EC-CUBEの管理者用IDとパスワードを取得した第三者によって、二要素認証を回避し、管理画面へ不正ログインされる可能性がある。

　JVNでは、開発者が提供する情報をもとに修正ファイルを適用するよう呼びかけている。

元の記事を読む

編集部おすすめ