galluさんは書きました：
現状、登録されていないアドレスを入力すると「ご入力のemailアドレスは登録されていません」と出てくるロジックになっているかと思うのですが(eccube-1.3.4.tar.gz のソースでも確認をしております)。
この流れですと、ブルートフォースアタックで「既存ユーザのメールアドレスを一通り抜くことができる」と考えられます。

このあたりをセキュリティリスクととるかどうか、というのも微妙ではあると思うのですが。
ちょっと気になったので書き込みをしてみました。