Movable Type 4.22 の提供を開始 セキュリティアップデート
今回問題となったクロスサイトスクリプティング(Cross Site Scripting)とは？って思っている人っていると思います。
少なくとも自分は分かっていません...
なのでこんな時はWikipediaです。
クロスサイトスクリプティング(Cross Site Scripting)とは？
クロスサイトスクリプティング (Cross Site Scripting) とは、動的にWebページを生成するアプリケーションのセキュリティ上の不備を意図的に利用し、狭義にはサイト間を横断して悪意のあるスクリプトを混入させること。また、それを許す脆弱性のこと。広義にはスクリプトを混入させずとも、任意の要素を混入させられうる脆弱性を含む。略記としてCSS、XSSがある。CSSは同分野でよく使用されるCascading Style Sheetsの略でもあるので、混乱を避けるためにXSSと表記されることが多い。
攻撃者が対象となるサイトとは異なるサイトからスクリプトを送り込み、訪問者に実行せしめることから、クロスサイト（サイトを横断した）スクリプティング（スクリプト処理）と呼ばれる。
ウェブアプリケーションが入力したデータ（フォーム入力など）を適切にエスケープしないままHTML中に出力することにより、入力中に存在するタグ等文字がそのままHTMLとして解釈される。ここでスクリプトを起動させることにより、以下に挙げるような攻撃が成立する。
- クッキーの値を取得あるいは設定することにより、セッションハイジャックする
- 強制的なページ遷移を起こさせ、クロスサイトリクエストフォージェリの踏み台とする
- ページ全体を置き換えることにより、偽のページを作り出す（典型的にはフィッシングに用いられる）
- フォームの送信先を置換することにより、入力を第三者サイトに送信するよう仕向ける
これらの攻撃が成立することにより、秘密情報の窃取や、回復不可能な権利侵害につながるおそれがある。
引用：ウィキペディア（Wikipedia）
意味を調べてみても難しいです...
とにかく時間があいている時にアップグレードをしておきましょう。
ちなみに個人ライセンスのダウンロード先はここですよ。
