JVNDB-2024-029782

 WordPress.orgのWordPress用WordPressにおけるクロスサイトスクリプティングの脆弱性

WordPress Coreには、表示名の出力エスケープが不十分な問題があり、バージョン6.5.2までのさまざまなバージョンでアバターブロックのユーザー表示名を通じて保存型クロスサイトスクリプティング（Stored XSS）の脆弱性が存在します。この脆弱性の影響により、認証済みの攻撃者（投稿者レベル以上）は任意のWebスクリプトをページへ注入でき、注入されたページにユーザーがアクセスするたびにスクリプトが実行される可能性があります。さらに、コメントブロックが含まれていてコメント著者のアバターを表示するページでは、未認証の攻撃者も任意のWebスクリプトを注入することができます。

WordPress.org

• WordPress 6.0 から 6.0.7
• WordPress 6.1 から 6.1.5
• WordPress 6.2 から 6.2.4
• WordPress 6.3 から 6.3.3
• WordPress 6.4.0 から 6.4.3
• WordPress 6.5 から 6.5.1

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

wordfence

• Blog : Unauthenticated Stored Cross-Site Scripting Vulnerability Patched in WordPress Core
• Wordfence Intelligence : WordPress Core < 6.5.2 - Unauthenticated & Authenticated (Contributor+) Stored Cross-Site Scripting via Avatar Block

WordPress.org

• WordPress.org : WordPress 6.5.2 Maintenance and Security Release  WordPress News

1. クロスサイトスクリプティング (Basic XSS)(CWE-80) [その他]

1. CVE-2024-4439

1. National Vulnerability Database (NVD) : CVE-2024-4439
2. 関連文書 : Changeset 57950  WordPress Trac
3. 関連文書 : Changeset 57951 for branches/6.4/src/wp-includes/blocks/avatar.php  WordPress Trac

• [2026年01月07日]
    掲載