LavaLite CMSのバージョン10.1.0までには、パッケージ作成および検索機能に格納型クロスサイトスクリプティングの脆弱性が存在します。認証済みユーザーは、パッケージの名前または説明フィールドに細工されたHTMLやJavaScriptを入力でき、これらは保存された後にパッケージ検索結果で適切な出力エンコードなしにレンダリングされます。他のユーザーが悪意のあるパッケージを含む検索結果を閲覧すると、注入されたスクリプトがそのブラウザで実行され、セッションハイジャックや認証情報の盗難を引き起こし、被害者の権限で不正な操作を行う可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。