Movable Type に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は11月16日、複数の三菱電機製家電製品のWi-Fi接続処理におけるデッドロックの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。株式会社ブロードバンドセキュリティの志賀拓馬氏が報告を行っている。影響を受けるシステムは以下の通り。

・入力値に対する不適切な構文検証（CVE-2022-45113）、クロスサイトスクリプティング（CVE-2022-45122）
Movable Type 7 r.5301 およびそれ以前 (Movable Type 7系)
Movable Type Advanced 7 r.5301 およびそれ以前 (Movable Type Advanced 7系)
Movable Type 6.8.7 およびそれ以前 (Movable Type 6系)
Movable Type Advanced 6.8.7 およびそれ以前 (Movable Type Advanced 6系)
Movable Type Premium 1.53 およびそれ以前
Movable Type Premium Advanced 1.53 およびそれ以前

・コードインジェクション（CVE-2022-43660）
Movable Type 7 r.5301 およびそれ以前 (Movable Type 7系)
Movable Type Advanced 7 r.5301 およびそれ以前 (Movable Type Advanced 7系)
Movable Type Premium 1.53 およびそれ以前
Movable Type Premium Advanced 1.53 およびそれ以前

　シックス・アパート株式会社が提供する Movable Type には、下記の影響を受ける可能性がある複数の脆弱性が存在する。

・入力値に対する不適切な構文検証（CVE-2022-45113）
細工された URL にアクセスすることで当該製品のパスワードリセット画面の特定箇所に不正な URL へのリンクを設定される

・クロスサイトスクリプティング（CVE-2022-45122）
当該製品の管理画面にサインイン後に細工された URL にアクセスすることで、Web ブラウザ上で任意のスクリプトを実行される

・コードインジェクション（CVE-2022-43660）
当該製品のコンテンツフィールドの編集権限を持つユーザに任意の Perl スクリプトを実行されたり、Perl スクリプトを介して任意の OS コマンドを実行されたりする

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。