e107 CMS バージョン 3.2.1 には複数の脆弱性が存在し、クロスサイトスクリプティング（XSS）攻撃が可能です。最初の脆弱性は、認証ユーザーがコメントフォームを操作する際に発生する反射型XSSであり、ニュースコメント機能に影響を与えます。攻撃者はURLパラメータを通じて悪意のあるJavaScriptコードを注入でき、ユーザーがコメントフィールド外をクリックするとそのコードが実行されます。二つ目の脆弱性は、認証済み管理者に対するアップロード制限の回避が可能であり、メディアマネージャのリモートURLアップロード機能を通じて、SVGファイルに悪意のあるコードを含むファイルをアップロードできます。これにより、アップロードされたSVGファイルにアクセスした際にストアドXSSが発生します。これらの脆弱性はHubert Wojciechowskiによって発見され、CMSのnews.phpおよびimage.phpコンポーネントに影響を与えます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。