EC-CUBE 4.0.4以降の最新版にバージョンアップしていただくことで、本件の脆弱性は修正されます。

EC-CUBE 4.0.4は2020年6月17日にリリース予定です。

開発ドキュメント「バージョンアップ」の手順を参考に、EC-CUBEのバージョンアップをお願い致します。

3.0系はEC-CUBEのバージョンアップの予定はありません。
修正方法2の方法で、修正ファイルを反映してのご対応をお願い致します。

1. 修正ファイルのダウンロード
   
   ご利用中のEC-CUBEのバージョンに該当する修正ファイルをダウンロードしてください。

   2020年6月16日 追記

   2020年6月9日に配布しました修正ファイルを適用した場合に、既存機能でデグレードの不具合が発生することがわかりました。そのため新しい修正ファイルを配布しております。(脆弱性については以前の修正ファイルでも修正されており問題ございません)
   
   

   ---

   デグレード 不具合概要
   商品画像を追加・削除した場合に、商品情報を保存できない
   
   発生手順
   1.管理画面で商品登録の画面を開く（新規/編集いずれでも可）
   2.商品画像として画像ファイルをアップロードする
   3.手順2でアップロードした画像を画像右上の「×」をクリックして削除する
   4.ページ右下の「登録」ボタンをクリックする
   　→「画像のパスが不正です」と表示されて保存できない（NG）
   

   ---

   
   以前に配布致しました修正ファイルでも脆弱性そのものは修正されておりますのでご安心ください。上記不具合の内容をご確認の上、修正ファイルの再適用をご検討お願い致します。

   [バージョンの確認方法]
   こちらの手順でご確認ください。
   
   [修正ファイル - 2020年6月16日 更新]
   EC-CUBE 3.0系用 (md5:4362c563aa094292616c9a2ff50277a6)
   EC-CUBE 4.0系用 (md5:50f20fe934cf004c493d5ca626aa7c5d)
   
   修正ファイルはいずれのバージョンでも1ファイルのみです。
   ダウンロードしていただきますと、各バージョンごとフォルダが別れており、その中に修正ファイル(ProductType.php)があります。必ず該当するバージョンのファイルをご利用ください。
   
   

   ※EC-CUBE 3.0.3以前のEC-CUBEには、本件以外にも複数の脆弱性がございます。
   ※EC-CUBEのバージョンを3.0.4以上にバージョンアップした上で、本件の修正を反映してください。
   

2. EC-CUBEファイルのバックアップ
   あらかじめEC-CUBEファイル全体のバックアップを行ってください。

3. 修正ファイルの反映
   手順1で用意したファイル(ProductType.php)で、以下のファイルを上書き更新してください。
   
   上書きするファイル：
   /src/Eccube/Form/Type/Admin/ProductType.php
   

   ※EC-CUBE本体のカスタマイズをしている場合、修正箇所の差分をご確認のうえ反映をお願いします。
   ※開発環境がある場合は、開発環境での反映・動作確認を行った後に、本番環境への反映をおすすめします。
   

4. 動作確認
   管理画面にログインし、商品画像の登録・削除が正常に行えることをご確認ください。
   

EC-CUBE 4.0系 の差分
EC-CUBE 3.0系 の差分