Contao: コメント機能におけるクロスサイトスクリプティングの脆弱性

認証されていないフロントエンドの訪問者が、XSS（クロスサイトスクリプティング）の攻撃を仕込むコメントを投稿できる可能性があります。被害者は、コメントモジュールを開くバックエンドのユーザーであり、モデレーションは脆弱性を防ぐのではなく、むしろ脆弱性を露呈させる可能性があります。Contaoのバックエンドからは、`Content-Security-Policy`ヘッダーが送信されないため、インラインハンドラに対する対策は講じられていません。

### 影響

インターネット上の誰でも、Contaoのバックエンドで実行されるスクリプトを、コメントモジュールを開いているユーザーのセッション下で、クリックやホバーなしに注入できます。そこから、ペイロードはバックエンドでそのユーザーとして動作し、アクセス可能なモジュールを読み込んだり、新しい管理者を作成したり、テンプレートを編集したりすることができます。Contaoでは、バックエンドへの書き込みアクセスからコード実行への経路が文書化されています。モデレーションは役に立たず、むしろ脆弱性の露呈を保証します。なぜなら、未公開のコメントも挿入され、モデレーターがそれらに対処するためにリストを開く必要があるからです。

影響を受けるパッケージ：
- Composer (PHP) contao/comments-bundle: 影響を受けるバージョンは 4.0.0 以降、5.3.50 未満。5.3.50 で修正済み。
- Composer (PHP) contao/comments-bundle: 影響を受けるバージョンは 5.4.0-RC1 以降、5.7.12 未満。5.7.12 で修正済み。