Movable Type に複数のXSSの脆弱性
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は8月25日、Movable Type における複数のクロスサイトスクリプティングの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。
脆弱性と脅威
セキュリティホール・脆弱性
・CVE-2021-20808, CVE-2021-20809, CVE-2021-20810, CVE-2021-20811, CVE-2021-20815
Movable Type 7 r.4903 およびそれ以前 (Movable Type 7系)
Movable Type 6.8.0 およびそれ以前 (Movable Type 6系)
Movable Type Advanced 7 r.4903 およびそれ以前 (Movable Type Advanced 7系)
Movable Type Premium 1.44 およびそれ以前
Movable Type Premium Advanced 1.44 およびそれ以前
・CVE-2021-20812
Movable Type Advanced 7 r.4903 およびそれ以前 (Movable Type Advanced 7系)
Movable Type Premium Advanced 1.44 およびそれ以前
・CVE-2021-20813
Movable Type 7 r.4903 およびそれ以前 (Movable Type 7系)
Movable Type Advanced 7 r.4903 およびそれ以前 (Movable Type Advanced 7系)
・CVE-2021-20814
Movable Type 7 r.4903 およびそれ以前 (Movable Type 7系)
Movable Type Advanced 7 r.4903 およびそれ以前 (Movable Type Advanced 7系)
Movable Type Premium 1.44 およびそれ以前
シックス・アパート株式会社が提供する Movable Type には、下記に挙げる複数のクロスサイトスクリプティングの脆弱性が存在し、当該製品にログインした状態のユーザのWebブラウザ上で任意のスクリプトを実行される可能性がある。
・検索画面におけるクロスサイトスクリプティング（CVE-2021-20808）
・記事、ウェブページ、コンテンツタイプの新規作成画面におけるクロスサイトスクリプティング（CVE-2021-20809）
・サイト管理画面におけるクロスサイトスクリプティング（CVE-2021-20810）
・アセットの一覧画面におけるクロスサイトスクリプティング（CVE-2021-20811）
・サーバ配信の設定画面におけるクロスサイトスクリプティング（CVE-2021-20812）
・コンテンツデータ入力画面におけるクロスサイトスクリプティング（CVE-2021-20813）
・ContentType Information Widget プラグインの設定画面におけるクロスサイトスクリプティング（CVE-2021-20814）
・記事の定型文の編集画面におけるクロスサイトスクリプティング（CVE-2021-20815）
JVNでは開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。
《ScanNetSecurity》
