Ghost: 埋め込みカードのプレビュー機能におけるXSS脆弱性
### 影響
Ghostエディタの埋め込みカード機能は、GHSA-8vhf-xxpj-4qrgの修正を回避するために利用される可能性があります。 投稿内容にスクリプトを保存し、他のスタッフユーザーがエディタでその投稿を開いた際に実行されることで、そのユーザーの管理者権限セッションが侵害される可能性があります。
自己ホスト環境では、新しい`security.embedPreviewUrl`の設定オプションをデフォルトのままにしておく必要があります。
### 脆弱性のあるバージョン
この脆弱性は、Ghostのv6.34.0からv6.65.0までのバージョンに存在します。
### 修正
v6.67.0には、この問題に対する修正が含まれています。
### アップデート方法
Dockerを使用している自己ホスト環境では、[Dockerの公式Ghostイメージはこちら](https://hub.docker.com/_/ghost)から入手できます。 DockerベースのGhostインスタンスのアップデートについては、[こちら](https://docs.ghost.org/install/docker#updating-ghost)に記載されています。
Ghost-CLIでインストールした場合は、[最新バージョンへのアップデート方法](https://docs.ghost.org/update)に関するドキュメントを参照してください。
### 参照
Ghostは、この脆弱性を責任を持って報告してくれた[DONG2209 (Dong Nguyen)](https://github.com/DONG2209)とPedro Pinhoに感謝します。
### 詳細情報
このセキュリティに関する情報についてご質問やご意見がある場合は、[security@ghost.org](mailto:security@ghost.org)までメールでお問い合わせください。
影響を受けるパッケージ：
- npm (JavaScript) ghost: 影響範囲は、バージョン6.34.0以上、6.67.0未満。6.67.0で修正済み。