2024年9月4日 WordPress 用プラグインAdvanced Custom Fields におけるクロスサイトスクリプティングの脆弱性（ぜいじゃくせい）

要約

WP Engine が提供する WordPress 用プラグイン Advanced Custom Fields にクロスサイトスクリプティング（CWE-79）の脆弱性が報告されました。

対策は、開発者が提供する情報をもとに最新版へのアップデートとなります。

JVN#67963942
WordPress用プラグインAdvanced Custom Fieldsにおけるクロスサイトスクリプティングの脆弱性

影響を受けるシステム

• Advanced Custom Fields 6.3.5およびそれ以前のバージョン
• Advanced Custom Fields Pro 6.3.5およびそれ以前のバージョン

想定される影響

当該製品の設定情報で設定された’capability’設定権限を有する攻撃者によって、フィールドラベルに任意のスクリプトを保存された場合、当該製品にログインしている攻撃者と同じ権限を持つユーザのウェブブラウザ上で、このスクリプトを実行される可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、本脆弱性を修正した次のバージョンをリリースしています。

• Advanced Custom Fields 6.3.6
• Advanced Custom Fields Pro 6.3.6

JVN#67963942: WordPress用プラグインAdvanced Custom Fieldsにおけるクロスサイトスクリプティングの脆弱性

Japan Vulnerability Notes

jvn.jp