WordPress 6.0.3セキュリティアップデートには、多くの脆弱性に対するパッチが含まれていますが、そのほとんどは深刻度が低いか、悪用するために高度な特権を持つユーザーアカウントや脆弱なコードを追加する必要があります。
これらの脆弱性を共有し、ハッキングされる可能性のあるサイトを回避するための対策を講じることができるようにしたい。
1. Authenticated (Contributor+) Stored Cross-Site Scripting via RSS Widget/Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: N/A
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
投稿者レベルの攻撃者は、自分の管理するサイトにエラーコードと悪意のあるスクリプトを返すページを作成することができる。 Content-Type レスポンス・ヘッダ。
2. Authenticated Stored Cross-Site Scripting via Search Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: Alex Concha
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
投稿を編集できるユーザーが、検索ブロックの文字色と背景色属性を使って悪意のあるJavaScriptを注入することが可能です。
Description: Authenticated Stored Cross-Site Scripting via Featured Image Block
Affected Versions: WordPress Core < 6.0.3 & Gutenberg < 14.3.1
Researcher: N/A
CVE ID: Pending
CVSS Score: 6.4(Medium)
CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Fully Patched Version: 6.0.3
Changeset: https://core.trac.wordpress.org/changeset/54543
