私も、追加での認証の要否などは、利用者(運営者)が判断していく事だと思います。

EC-CUBE の開発プロジェクト・コミュニティとしては、むしろそういった追加設定を必要とせずに、アプリケーションのみでも一定のセキュリティを確保できる方向を目指して行きたいですね。

patapata 様の提起されている、セキュリティ対策に関しまして、技術的な観点では賛同ですが。


なお、脆弱性に関わる告知は、いきなり個人的に発信するのではなく、開発元や適切な第三者機関(独立行政法人 情報処理推進機構 セキュリティセンター (IPA/ISEC) など)と連携して、手順を踏んで公開していく方が効果的な場合も多いです。今後はそういった方法も検討すると良いのではないかと感じました。

----------------
Seasoft
こちらでの投稿は、アイディア程度に留めさせていただいております。
個別案件の作業は有償で承っております。お気軽にご相談ください。