それはですね、管理者がプレビュー画面を閲覧するたびに、Facebookコメントに含まれたHTMLが評価されるからです。v-showの仕様により、コメントセクションが非表示でもHTMLはDOMに残るのです。攻撃者はFacebookアカウントでコメントを投稿し、そこからスクリプトを実行できる構造です。

攻撃者が制御するURLから任意のプラグインをインストールさせられる可能性があります。これは管理者のセッション内で発生するため、サーバーサイドコード実行につながる恐れがあります。

まず、Smash Balloonプラグインがインストールされているか、バージョンを確認する必要があります。次に、入力のサニタイズと出力のエスケープが適切に実施されているかを点検してください。そして、パッチ適用の有無を確認し、変更管理の記録を残すことが重要です。監視については、異常なプラグインインストールやスクリプト実行を検出するためのログ監視を設定しましょう。最後に、ベンダーの公式情報で該当の修正バージョンや対応策を確認してください。

保存型XSSは、サーバー側に悪意のあるスクリプトが保存され、後で他のユーザーがアクセスするたびに実行されるのに対し、この脆弱性では、特定の条件（管理者のプレビュー閲覧）で一時的に実行される点が異なるかもしれません。ただし、これは攻撃者が直接スクリプトを注入できる構造のため、保存型に分類されているのです。

パッチ適用後の環境変化を正確に記録しないと、今後のトラブルの原因となる可能性があります。特に、スクリプトの挿入やプラグインのインストールが自動的に行われた場合、何が原因で起きたのかを追い跡できないためです。

おそらく、現時点で公表されていないからです。ただし、攻撃者がFacebookアカウントでコメントを投稿するだけという低ハードルのため、実際の被害が拡大する可能性を考慮し、高スコアが付けられているのでしょう。

まずは、Smash Balloonプラグインの導入状況とバージョンを確認し、4.13.0以下の場合は更新してください。次に、入力サニタイズと出力エスケープの実施状況を点検し、必要に応じて設定を見直してください。そして、変更管理の記録を残し、監視を強化し、ベンダー情報で最新の対策を確認しましょう。

スクリプトの注入は、見えない場所で起こる。しかし、監視と記録があれば、悪意の手は見逃すことはない。