Ghost: oEmbed写真レスポンスを介したXSS脆弱性
### 影響
攻撃者が管理するウェブサイトからのURLを埋め込むと、信頼できないスクリプトが投稿コンテンツに保存される可能性があります。これらのスクリプトは、Ghostのエディタ、公開サイト、およびニュースレターのメールで実行される可能性があり、スタッフの管理者のセッションが侵害される可能性があります。
### 脆弱性のあるバージョン
この脆弱性は、Ghostのv2.1.0からv6.64.0までのバージョンに存在します。
### 修正
v6.64.0には、この問題に対する修正が含まれています。
### アップデート方法
Dockerを使用している場合は、[Dockerの公式Ghostイメージはこちら](https://hub.docker.com/_/ghost)で確認できます。DockerベースのGhostインスタンスのアップデートについては、[こちら](https://docs.ghost.org/install/docker#updating-ghost)に記載されています。
Ghost-CLIでインストールされている場合は、[最新バージョンへのアップデート方法](https://docs.ghost.org/update)に関するドキュメントを参照してください。
### 参照
Ghostは、[Tencent KeenLab](https://github.com/KeenSecurityLab)の[SecBuddyF](https://github.com/SecBuddyF)と[Nhat Anh Vu](https://github.com/nhattanhh)が、この脆弱性を責任を持って報告してくれたことに感謝します。
### 詳細情報
このセキュリティに関する情報についてご質問やご意見がある場合は、[security@ghost.org](mailto:security@ghost.org)までメールでお問い合わせください。
影響を受けるパッケージ：
- npm (JavaScript) ghost: 影響を受けるバージョンは、2.5.0以上、6.64.0未満。6.64.0で修正済み。