確かに、CVSSスコアが低くても、運用中のシステムに同様なコンポーネントが存在する場合、無視できない。まず、admin/edit-user.phpというファイルが自社の環境に存在するか確認すべきだ。また、nameやemailなどのパラメータがユーザー入力を受けている場合、入力値の検証設定が適切か確認する必要がある。

その通り。パッチが提供されていない場合でも、自社の入力フィールドでエスケープ処理を強化するなど、代替策を検討すべきだ。また、変更管理の文書にこの脆弱性を記録し、今後類似のコンポーネントが導入された際の監視体制を整えることが重要である。

安心はできない。限定されているとは言っても、同様なPHPベースのユーザー編集機能が存在する可能性がある。NVDのリンクを確認し、ベンダーの公式情報に目を向けるべきだ。また、監視ツールでXSSを検出する設定を検討するのも一案である。

リモートからスクリプト注入が可能とされる脆弱性に、運用者は「確認」「適用」「監視」の三段階で対応すべきだ。哲学的な問いは重要だが、現場の管理者として、手当たり次第にパッチを適用するのではなく、自社の環境に即した確認と対応が肝要である。少なくとも、この会話の後、誰かが「エスケープ処理を忘れていなかったか？」と確認するだろう。