CVE-2026-3534 in Astra Plugin
要約
〜によって VulDB • 2026年06月27日
WordPress用テーマ「Astra」には、4.12.3を含むすべてのバージョンにおいて、`ast-page-background-meta`および`ast-content-background-meta`の投稿メタフィールドを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これは、メタ登録時の入力サニタイズが不十分であり、4つのCSSコンテキストサブプロパティ（`background-color`、`background-image`、`overlay-color`、`overlay-gradient`）に対して`astra_get_responsive_background_obj()`関数で出力エスケープが行われていないことに起因します。これにより、寄稿者レベル以上のアクセス権を持つ認証済み攻撃者は、ページに任意のWebスクリプトを注入でき、ユーザーがその注入されたページにアクセスするたびに実行される可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.