おけるクロスサイトリクエストフォージェリの脆弱性*1CSRF*2とは、簡単に言うと、どんなサイトやHTMLメールからでも、ユーザの意図しない情報をターゲットのサイトに送信させて、望まない操作をさせる事が出来るという物です。*3特にサイト管理者の方はEC-CUBEの管理画面にログインしたままの状態で、よく解らないリンクやボタンをクリックしない様にしましょう。*42.11.0以降のバージョンには存在しませんので、2.11.0以降を利用されている方は大丈夫です。*52.4系から2.11系へのデータ移行ツールもリリースされていますが、2.11系は2.4系とは大きく変わり、簡単にはバージョンアップ出来ないのも事実です。多数のカスタマイズを加えていると、より作業量は増えてしまいます。2.4系をそのまま使って、この脆弱性に対応する為のやり方を今回はご紹介します。全てのフォームにトークンを加える。EC-CUBEには、元々CSRFに対応する為の機能が備わっています。2.4系よりも前のバージョンでは一部の画面でしか利用されていない為、脆弱性が存在してしまっています。これに対応する為には全てのフォームにトークンを追加します。/>次に、トークンを追加したページに該当するLC_Page系のクラスのinit()*6に下記を追加します。$this->getToken();追加したトークンを受け取る画面に該当するLC_Page系のクラスのinit()に下記を追加します。true);}結構大変です。作業自体は簡単ですが、とにかく追加しないといけない箇所が多いので結構大変だと思います。サイトの状態によっては2.11.1にバージョンアップした方が早いかもしれません。サイトのカスタマイズ状況を見極めて、どちらの方が良いか早めに検討される事をオススメします。*1:クリックしなくても開いただけで攻撃も可能です*2:クロスサイトリクエストフォージェリ*3:具体的にどんな事が出来るかは、ここで書く事は控えさせて頂きます。*4:管理画面にログインしている時は、ブラウザで他のウィンドウやタブを開かない様にして、コマメにログアウトすれば平気です。*5:2.11の開発中にこの辺の話や作業をしました。*6:モバイルの方にも足します。(2)はてなブログをはじめよう!xross-cubeさんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。