| Summary | Session fixation vulnerability in EC-CUBE (EC-CUBE 3.0.0, EC-CUBE 3.0.1, EC-CUBE 3.0.2, EC-CUBE 3.0.3, EC-CUBE 3..4, EC-CUBE 3.0.5, EC-CUBE 3.0.6, EC-CUBE 3.0.7, EC-CUBE 3.0.8, EC-CUBE 3.0.9, EC-CUBE 3.0.10, EC-CUBE 3.0.11, EC-CUBE 3.0.12, EC-CUBE 3.0.12-p1, EC-CUBE 3.0.13, EC-CUBE 3.0.14, EC-CUBE 3.0.15) allows remote attackers to perform arbitrary operations via unspecified vectors. |
|---|---|
| Publication Date | April 20, 2018, 10:29 p.m. |
| Registration Date | March 1, 2021, 6:37 p.m. |
| Last Update | Nov. 21, 2024, 12:38 p.m. |
| CVSS3.0 : HIGH | |
| スコア | 8.1 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | なし |
| CVSS2.0 : MEDIUM | |
| Score | 5.8 |
|---|---|
| Vector | AV:N/AC:M/Au:N/C:P/I:P/A:N |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 中 |
| 攻撃前の認証要否(Au) | 不要 |
| 機密性への影響(C) | 低 |
| 完全性への影響(I) | 低 |
| 可用性への影響(A) | なし |
| Get all privileges. | いいえ |
| Get user privileges | いいえ |
| Get other privileges | いいえ |
| User operation required | はい |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:lockon:ec-cube:*:*:*:*:*:*:*:* | 3.0.0 | 3.0.15 | |||
| Title | EC-CUBE におけるセッション固定の脆弱性 |
|---|---|
| Summary | 株式会社ロックオンが提供する EC-CUBE は、オープンソースのショッピングサイト構築システムです。EC-CUBE には、セッション固定の脆弱性 (CWE-384) が存在します。 この脆弱性情報は、製品利用者への周知を目的に、開発者が JPCERT/CC に報告し、JPCERT/CC が開発者との調整を行いました。 |
| Possible impacts | 遠隔の第三者によるなりすましが行われることで、ログインしているユーザの権限で任意の操作を実行される可能性があります。 |
| Solution | [アップデートまたはソースコードの更新を行う] 次のいずれかの方法で対策を行ってください。詳しくは開発者が提供する情報を参照してください。 ・当該製品を最新版へアップデートする。 ・開発者が提供する差分ファイルを適用してソースコードを更新する。 |
| Publication Date | April 17, 2018, midnight |
| Registration Date | April 17, 2018, 12:03 p.m. |
| Last Update | Aug. 22, 2018, 5:34 p.m. |
| 株式会社ロックオン |
| EC-CUBE 3.0.0 |
| EC-CUBE 3.0.1 |
| EC-CUBE 3.0.10 |
| EC-CUBE 3.0.11 |
| EC-CUBE 3.0.12 |
| EC-CUBE 3.0.12-p1 |
| EC-CUBE 3.0.13 |
| EC-CUBE 3.0.14 |
| EC-CUBE 3.0.15 |
| EC-CUBE 3.0.2 |
| EC-CUBE 3.0.3 |
| EC-CUBE 3.0.4 |
| EC-CUBE 3.0.5 |
| EC-CUBE 3.0.6 |
| EC-CUBE 3.0.7 |
| EC-CUBE 3.0.8 |
| EC-CUBE 3.0.9 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2018年04月17日] 掲載 |
April 13, 2018, 12:20 p.m. |
| 2 | [2018年08月22日] 参考情報：National Vulnerability Database (NVD) (CVE-2018-0564) を追加 |
Aug. 22, 2018, 5:34 p.m. |