201206030 novel V3.5.0 には、DOM ベースのクロスサイトスクリプティング（XSS）脆弱性が存在します。これにより、リモートの攻撃者が巧妙に作成した「wvstest」パラメータを URL に挿入したり、window.localStorage に悪意のあるスクリプトを注入したりすることで、任意の JavaScript コードが実行されたり、ユーザーセッションのクッキーなどの機密情報が漏洩する可能性があります。この脆弱性は、ユーザーが制御できるデータの検証やエンコードが不十分であることが原因です。具体的には、フィルタリングされていないユーザー入力がバックエンドデータベース（book_comment テーブルの commentContent フィールド）に格納され、API を通じて返され、そのまま Vue 3 の v-html ディレクティブで DOM に描画されるため、サニタイズ処理が行われません。最近のブラウザの XSS フィルタがポップアップアラートをブロックした場合でも、攻撃者は隠されたペイロードを用いて検知を回避し、実害を引き起こす可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。