WordPress Plugin WP Admin UI Customize Stored XSS Vulnerability (CVE-2024-53278)

重要情報 1. 脆弱性識別番号: - JVN#87182660 2. 脆弱性名称: - WordPress プラグイン「WP Admin UI Customize」のクロスサイトスクリプティング（XSS）の脆弱性 3. 影響を受ける製品: - バージョン 1.5.14 より前の「WP Admin UI Customize」 4. 説明: - gqevu6bsiz が提供する WordPress プラグイン「WP Admin UI Customize」には、保存型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性（CWE-79）が含まれています。 5. 影響: - 悪意のある管理者ユーザーが管理画面を悪意のあるコンテンツを含むようにカスタマイズした場合、他のユーザーが管理画面にアクセスした際のブラウザ上で任意のスクリプトが実行される可能性があります。 6. 解決策: - プラグインの更新 - 開発者が提供した情報に基づいてプラグインを更新する - 開発者は以下のバージョンをリリースして本脆弱性を修正しました： - WP Admin UI Customize ver 1.5.14 7. ベンダーの状況: - gqevu6bsiz - WP Admin UI Customize - WP Admin UI Customize Update (1.5.14) (Japanese Text) 8. 参考資料: - JPCERT/CC 追記 9. CVSSスコア: - CVSS v3: 3.0/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N - ベーススコア: 4.8 10. クレジット（報告者）: - 佐藤伊吹氏（Ibuki Sato）が本脆弱性をIPAに報告しました。 - JPCERT/CCは、情報セキュリティ初期警戒パートナーシップの下で開発者と調整しました。 11. その他情報: - JPCERT アラート - JPCERT レポート - CERT アドバイザリ - CPNI アドバイザリ - TRnotes - CVE: CVE-2024-53278 - JVN iPedia: JVNDB-2024-000121 まとめ 本脆弱性は、WordPress プラグイン「WP Admin UI Customize」におけるクロスサイトスクリプティング（Cross-site Scripting, XSS）の脆弱性であり、バージョン 1.5.14 より前のバージョンに影響を与えます。バージョン 1.5.14 に更新することで本問題を解決できます。

目標達成 すべての支援者に感謝 — 100%達成しました！

WordPress Plugin WP Admin UI Customize Stored XSS Vulnerability (CVE-2024-53278)

目標達成すべての支援者に感謝 — 100%達成しました！