がると申します。初めて書き込みをさせていただいております。
それで、なのですが。
ちとこちらのプログラムの使用を検討していていろいろと見ていたのですが…パスワードリマインダのところで疑問が。

現状、登録されていないアドレスを入力すると「ご入力のemailアドレスは登録されていません」と出てくるロジックになっているかと思うのですが(eccube-1.3.4.tar.gz のソースでも確認をしております)。
この流れですと、ブルートフォースアタックで「既存ユーザのメールアドレスを一通り抜くことができる」と考えられます。

このあたりをセキュリティリスクととるかどうか、というのも微妙ではあると思うのですが。
ちょっと気になったので書き込みをしてみました。

とりあえず…開発陣の皆様の見解とかが伺えるとうれしいです。