プラットフォーム
php
コンポーネント
craftcms/commerce
修正版
4.0.1
5.0.1
5.6.0
CVE-2026-32270は、Craft CommerceのPaymentsController::actionPay関数における情報漏洩の脆弱性です。認証されていないユーザーが、注文番号を指定し、メールチェックが失敗した場合に、注文データ（顧客メールアドレス、配送先住所、請求先住所など）を含む機密情報にアクセスできてしまう可能性があります。この脆弱性はCraft Commerceのバージョン5.5.4 以前に影響を与えます。バージョン5.6.0でこの問題は修正されています。
Craft CMS Commerce の CVE-2026-32270 は、認証されていないユーザーが機密性の高い注文データにアクセスすることを可能にします。具体的には、電子メールチェックが原因で匿名支払いが失敗した場合、JSON エラー応答にシリアル化された注文オブジェクトが含まれます。このオブジェクトには、顧客の電子メールアドレス、配送先住所、請求先住所などの機密情報が含まれています。攻撃者は、この情報をソーシャルエンジニアリング、フィッシング、または電子商取引ウェブサイトの顧客に関する情報を得るために収集する可能性があります。
この脆弱性は、認証なしに actionPay アクションに有効な注文番号を提供することで悪用されます。提供された電子メールアドレスがシステムに存在しない場合など、電子メール検証が失敗すると、コントローラーは完全な注文オブジェクトを含む JSON 応答を返します。攻撃者は、ブルートフォースやネットワークトラフィックの監視など、さまざまな技術を使用して注文番号を取得できます。この脆弱性の悪用が容易であるため、特に大量の注文を処理する電子商取引ウェブサイトにとって大きな懸念事項となっています。
エクスプロイト状況
EPSS
0.06% (19% パーセンタイル)
CISA SSVC
推奨される解決策は、Craft CMS Commerce をバージョン 5.6.0 以降にアップグレードすることです。このバージョンは、電子メール検証が失敗した場合、エラー応答にシリアル化された注文オブジェクトが含まれないようにすることで、この脆弱性を修正します。その間、一時的な対策として、PaymentsController にカスタムフィルターを実装して、認証されていないユーザーに送信する前に JSON 応答から order オブジェクトを削除できます。アプリケーションのセキュリティポリシーをレビューおよび強化し、入力検証やインジェクション攻撃からの保護を含めることもお勧めします。
Actualice Craft Commerce a la versión 4.11.0 o superior, o a la versión 5.6.0 o superior para mitigar la vulnerabilidad de divulgación de información. Esta actualización corrige el problema al reforzar la autorización antes de recuperar los pedidos por número, evitando así la exposición de datos sensibles a usuarios no autenticados.
脆弱性分析と重要アラートをメールでお届けします。
シリアル化とは、複雑なオブジェクト (注文オブジェクトなど) を文字列に変換することです。この文字列は、ネットワーク経由で送信したり、ファイルに保存したりできます。この場合、シリアル化された注文オブジェクトには、認証されていないユーザーがアクセスすべきではない機密情報が含まれています。
ウェブサイトで匿名支払いを試してください。電子メール検証が失敗し、JSON 応答に機密情報を含む order オブジェクトが含まれている場合は、ウェブサイトが脆弱です。確認する最も安全な方法は、バージョン 5.6.0 以降にアップグレードすることです。
はい、PaymentsController にカスタムフィルターを実装して、認証されていないユーザーに送信する前に JSON 応答から order オブジェクトを削除できます。ただし、パッチが適用されたバージョンにアップグレードすることが最も推奨される解決策です。
公開される可能性のある機密情報には、顧客の電子メールアドレス、配送先住所、請求先住所が含まれます。この情報は、フィッシングやソーシャルエンジニアリングなどの悪意のある目的で使用される可能性があります。
ウェブサイトが侵害された疑いがある場合は、すぐにセキュリティの専門家に連絡してください。また、サーバーログを調べて不審な活動がないか確認し、顧客のデータを保護するための措置を講じる必要があります。