実際には、まず「The Salon Booking System」プラグインが導入されているかを確認すべきです。wp-content/pluginsディレクトリを覗き、version.phpに記載されたバージョンが10.31.9以下の場合は、公式サイトの修正プログラムを確認してください。そして、wp-config.phpやプラグインの設定ファイルで「sln[]」パラメータに関連するカスタムフィールドがHtmlやFileタイプで有効になっていないか、手動で点検する必要があります。

その通りです。しかし、運用者は「なぜその設定を選んだのか」を記録し、変更管理の文書に残す義務があります。また、修正プログラムの適用後は、wp-adminのアクティビティログやセキュリティスキャンツールで、XSS攻撃の痕跡が残っていないかを監視すべきです。

その通りです。NVDのURLから情報確認し、修正プログラムが公式リポジトリにアップロードされているかを確認してください。開発者の過去のサポート歴や、セキュリティアップデートの頻度も、運用の判断材料になります。

（苦笑）たとえば、カスタムフィールドに悪意あるスクリプトが「保存」された状態が、サイト利用者に悪影響を及ぼすのです。だから、保存されたデータの信頼性を確保する仕組みが、運用の責任範囲です。

その通りです。例えば、「HTMLフィールドは必要ない」と思い込み、設定を確認しない運用者がいます。しかし、この脆弱性は「標準的なプラグイン機能」に依存するため、設定確認を怠るとリスクが生じます。定期的な設定点検と、変更履歴の可視化が不可欠です。

（笑）美容院の予約システムが、XSS攻撃の温床になるとは…「髪を切るのではなく、セキュリティを切る」のかもしれません。でも、冗談はさておき、パッチ適用を忘れずに。