OpenPNE3 Plugins » opCalendarPlugin

管理画面スケジュールリソースの作成者名が正しくエスケープされずに出力されています。

<?php echo get_auther_name($scheduleResourceForm->getObject(), true) ?>

Form 由来の変数であるため、自動エスケープの対象外となっています。

現行の機能の範囲内ではスケジュールリソースを作成できるのは管理者のみでその管理者の名前が出力されるだけですが、データ構造上はメンバーの名前が表示される可能性を持っているため、将来的な機能追加やカスタマイズを考慮すれば重要度は高いです。