CEOブログ

横浜で活躍するホームページ作成・開発会社アットライズの代表取締役社長(CEO)が綴る、日々の奮闘記!!

業界・技術情報

EC-CUBEの脆弱性が発覚(緊急度:高)

投稿日:

auto0087

ECサイト用オープンソース「EC-CUBE」に緊急度「高」の脆弱性

WordPressなどと並んでオープンソースとして馴染みのある「EC-CUBE」に緊急度の高い脆弱性が発覚し、提供元よりバージョンアップ版が公開されました。

開発元リリース情報:https://www.ec-cube.net/news/detail.php?news_id=258

「EC-CUBE」はショッピングバスケットなどの機能を設けたECサイトに広く使われていて、放置しておくと「ユーザーが意図せずオンラインショップで買い物をさせられたりしてしまう」こともあるようなので、早急に対処が必要です。

「クロスサイトリクエストフォージェリ(CSRF)」と呼ばれる脆弱性

脆弱性の種類は、「クロスサイトリクエストフォージェリ(CSRF)」と呼ばれる脆弱性です。
以下、IT用語辞典より抜粋

CSRFとは、Webサイトにスクリプトや自動転送(HTTPリダイレクト)を仕込むことによって、閲覧者に意図せず別のWebサイト上で何らかの操作(掲示板への書き込みなど)を行わせる攻撃手法。
ユーザはCSRFの仕込まれたサイトにアクセスすることによって、特定の掲示板やアンケートなどに書き込まされたり、オンラインショップで買い物をさせられたりしてしまう。ブラウザでアクセスしただけで実行されてしまうため、ユーザが閲覧前に危険が無いかを調べて回避するのは現実的には難しい。

対象となるバージョンと対処

対象となるバージョン

不具合が存在するEC-CUBEのバージョンは以下の通り。
・EC-CUBE 2.11.0~2.11.5
・EC-CUBE 2.12.0~2.12.6
・EC-CUBE 2.13.0~2.13.3

対処方法

修正版がリリースされているので、既存バージョンに応じた修正版を適用してください。
ただし、独自にカスタマイズしている場合は修正版により上書きされてしまうので、手作業による修正が必要です。

詳しくは https://www.ec-cube.net/info/weakness/201510_01/を参照してください。

放置しておくと危険なので、速やかに対処しましょう。

-業界・技術情報
-,


  1. はらさん より:

    EC-「C」UBEですね

    • hattori より:

      ご指摘ありがとうございます。
      修正しました。
      お恥ずかしい。。(^^;

関連記事

[ネット活用]ITとは縁遠い業界こそ、優位に立つチャンスあり!

まだまだ意識が低い業界こそチャンス! 先日、オフィスの床清掃をしてくれる会社をネットで検索した。 この業界は、家族経営的な小規模事業者も多いと思われるが、まだまだWebサイトにもあまり力を入れている所 …

ネット広告費、新聞抜く

電通の発表によると、「2009年の広告費」で、ついに「ネット広告費」が「新聞広告」を抜き、「テレビ広告」についで第二位になった、と。 ITmediaの記事は > こちら 他のマスメディアは軒並み二ケタ …

横浜が熱い!アップルの開発拠点が みなとみらい にやってくる!

世界初の海外開発拠点がヨコハマに! 今朝飛び込んできたニュース。 アップルの開発拠点が横浜のみなとみらいにやってくるらしい。 時期は「来年早々」とのことで、、これを機にヨコハマが益々熱くなってくること …

WordPressの脆弱性への対応

Webサイト制作をご依頼いただくお客様の多くで、「自社で更新したい」というニーズが増えています。 そこでブログを書くように 管理画面から更新できるツール「CMS」(Content Management …

no image

mixiのシステムダウン

一昨日から mixiのシステムダウンが断続的に発生している。 今朝になって復旧しているようだが。。。   こういう話を聞くと、元SEとして 現場技術者たちの奮闘ぶり、、というか、切羽詰まった現場の状況 …