脆弱性に関するお知らせいつもEC-CUBEをご利用いただきまして、誠にありがとうございます。EC-CUBE2.11系,2.12系のバージョンに緊急度の高い2件の脆弱性を含め4件の脆弱性があることが判明いたしました。(本脆弱性における被害報告は現在ございません。)脆弱性そのものは該当ファイルのソースコード修正、またはファイルの上書きにより、すぐに解決するものです。皆様にはお手数おかけしまして誠に申し訳ございませんが、対策を早急に講じて頂きますよう、どうかよろしくお願い申し上げます。修正方法につきまして(4件共通)1.EC-CUBEバージョンごとの修正ファイルをダウンロードしてください。※EC-CUBEのバージョンはEC-CUBE管理画面ログイン後TOPページよりご確認いただけます。修正ファイル(2.12.3enP2用)md5:eefd9f7f6d67103925310ae7606211bc2.修正する該当ファイル、もしくはEC-CUBEファイル全体のバックアップをとってください。3.ダウンロードしたファイルを解凍し、該当ファイルを既存ファイルへ上書きしてください。※ディレクトリ付きファイルですので、ルートディレクトリからそのままファイルの上書きが可能です。(EC-CUBEデフォルトのディレクトリ構造以外で使用されている場合、ファイルの上書きができない可能性がございますのでご注意ください)※既存ファイルをカスタマイズしている場合、以下個別の修正方法をご参考に修正をお願いします。4.動作確認をしてください。※今回の修正によりプラグインが正常に動作しなくなる可能性がございます。開発環境がある場合は、まず開発環境でお試しください。※株式会社スピリットオブ様より標準環境向けのアップデートプログラムを提供いただきました。アップデートプログラムによる修正が可能となっていますのでこちらご参考下さい。2.12.3enP2-----------------------------------------------------------------------------------------------------------------■個別の脆弱性情報に関しまして-----------------------------------------------------------------------------------------------------------------以下、個別の脆弱性情報を記載いたします。該当ファイルをカスタマイズしている場合は以下をご参考いだだき個別で修正をお願いいたします。/data/class/pages/forgot/LC_Page_Forgot.php::lfCheckForgotMail/data/class/pages/forgot/LC_Page_Forgot.php::lfCheckForgotSecret/data/class/pages/cart/LC_Page_Cart.php::action/data/class/helper/SC_Helper_Session.php::adminAuthorization/data/Smarty/templates/default/shopping/multiple.tpl/data/Smarty/templates/mobile/shopping/multiple.tpl/data/Smarty/templates/sphone/shopping/multiple.tpl※行数はバージョン・カスタマイズの内容によって異なりますので、ご注意下さい。※テンプレートファイルの変更箇所は以下のチェンジセットをご参考下さい。ついて】/data/class/pages/forgot/LC_Page_Forgot.php::lfCheckForgotMail/data/class/pages/forgot/LC_Page_Forgot.php::lfCheckForgotSecretに以下の変更を加えます。「パスワードの再発行」の機能が正常に動作する事を確認下さい。ついて】/data/class/helper/SC_Helper_Session.phpに以下の変更を加えます。管理画面にログインが出来る事を確認下さい。ついて】/data/class/pages/cart/LC_Page_Cart.php::actionに以下の変更を加えます。【修正後の確認方法について】カートへの商品追加が出来る事を確認下さい。-----------------------------------------------------------------------------------------------------------------▽LC_Page_Cart.php215行目付近(※2.11.0,2.11.1では対応不要となります。ついて】/data/Smarty/templates/default/shopping/multiple.tpl/data/Smarty/templates/mobile/shopping/multiple.tpl/data/Smarty/templates/sphone/shopping/multiple.tpl以下のチェンジセットを参考に修正下さい。http://svn.ec-cube.net/open_trac/changeset/22784【修正後の確認方法について】お届け先複数指定が出来る事を確認下さい。対象バージョンをお確かめ下さい。2.4以下のバージョンの場合は対策不要です。2.11,2.12系の場合、対象ファイルを確認下さい。修正がされていない場合、修正方法に沿って修正の対応をお願い致します。オフィシャルホスティングパートナーをご利用の場合・インテグレートパートナーが構築した場合、既に対策されている場合がございます。この度は、お手数をおかけいたしますことを深くお詫び申し上げます。株式会社スピリットオブ様より標準環境向けのアップデートプログラムを提供いただきました。各バージョンで同様に利用可能です。ダウンロードし解凍する(update201305.php)。「コンテンツ管理>ファイル管理」からプログラムをuser_dataディレクトリ(開いてすぐのディレクトリ)にアップロード。「(ショップのURL)/user_data/update201305.php」とURLを打ち込み、更新画面を開く。画面上の説明に従って更新してください。並びに、EC-CUBEオフィシャルサイトへお問い合わせ頂きました開発者さまよりご提供頂きました。この場をお借りして、厚く御礼申し上げます。