| Title | Automattic Inc.のWordPress用Jetpackにおけるクロスサイトスクリプティングの脆弱性 |
|---|---|
| Summary | WordPress用プラグインであるJetpack - WP Security、Backup、Speed、& Growthは、バージョン13.3.1までのすべてのバージョンにおいて、wpvideoショートコードのユーザー提供属性の入力サニタイズと出力エスケープが不十分であるため、ストアドクロスサイトスクリプティングの脆弱性が存在します。これにより、寄稿者レベル以上の認証された攻撃者が任意のウェブスクリプトを注入でき、ユーザーが注入されたページにアクセスするたびにそのスクリプトが実行される可能性があります。 |
| Possible impacts | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | May 14, 2024, midnight |
| Registration Date | Jan. 23, 2026, 2:20 p.m. |
| Last Update | Jan. 23, 2026, 2:20 p.m. |
| CVSS3.0 : 警告 | |
| Score | 5.4 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N |
| Automattic Inc. |
| Jetpack 13.4 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年01月23日] 掲載 |
Jan. 23, 2026, 2:20 p.m. |
| Summary | The Jetpack – WP Security, Backup, Speed, & Growth plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's wpvideo shortcode in all versions up to, and including, 13.3.1 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. |
|---|---|
| Summary | El complemento Jetpack – WP Security, Backup, Speed, & Growth para WordPress es vulnerable a Cross-Site Scripting Almacenado a través del código corto wpvideo del complemento en todas las versiones hasta la 13.3.1 incluida debido a una sanitización insuficiente de las entradas y a que la salida se escape en los atributos proporcionados por el usuario. Esto hace posible que atacantes autenticados, con acceso de nivel de colaborador y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada. |
| Publication Date | May 15, 2024, 1:17 a.m. |
| Registration Date | May 15, 2024, 10:01 a.m. |
| Last Update | April 9, 2026, 2:18 a.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:automattic:jetpack:*:*:*:*:*:wordpress:*:* | 13.4 | ||||