slug: cwe-79
Explication
CWE-79は「Webアプリがユーザー入力をきちんと無害化せずに画面に出力してしまう欠陥」のことです。
結果として、攻撃者はWebページに悪意あるJavaScriptを埋め込めるようになり、見た人のCookie (ログイン情報) や入力情報を盗めるようになります。
対策はWebの基本中の基本: 出力時のHTMLエスケープです。
Exemple
MySpace ワーム「Samy」 (2005): 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した。
Liens utiles
Étiquettes liées
Vulnérabilités associées 9,206
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress Plugin WP Symposium Pro XSS dans WordPress Plugin WP Symposium Pro (CVE-2021-47927). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47927
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Rocket LMS XSS dans Rocket LMS (CVE-2021-47907). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47907
- Moyenne 6.4 XSS (Cross-Site Scripting) dans AccessPress Social Icons XSS dans AccessPress Social Icons (CVE-2021-47910). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47910
- Moyenne 6.1 XSS (Cross-Site Scripting) dans libphp XSS dans libphp (CVE-2026-6735). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 8.2.31, 8.3.31, 8.4.21, 8.5.6 ou plus. CVE-2026-6735
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8219). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8219
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8218). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8218
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8221). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8221
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8220). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8220
- Moyenne 4.3 XSS (Cross-Site Scripting) dans JeecgBoot XSS dans JeecgBoot (CVE-2026-8195). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8195
- Élevée 7.8 XSS (Cross-Site Scripting) dans Amazon Kiro IDE XSS dans Amazon Kiro IDE (CVE-2026-5429). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-5429
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Cisco Catalyst Sd Wan Manager XSS dans Cisco Catalyst Sd Wan Manager (CVE-2026-20108). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20108
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Cisco Identity Services Engine XSS dans Cisco Identity Services Engine (CVE-2025-20204). Risque d'opérations non autorisées ou de divulgation. CVE-2025-20204
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Cisco Integrated Management Controller XSS dans Cisco Integrated Management Controller (CVE-2026-20085). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20085
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Cisco Identity Services Engine XSS dans Cisco Identity Services Engine (CVE-2026-20132). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20132
- Non évaluée XSS (Cross-Site Scripting) dans Linkwarden XSS dans Linkwarden (CVE-2026-42455). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /api/v1/archives/. CVE-2026-42455
- Moyenne 6.1 XSS (Cross-Site Scripting) dans mistune XSS dans mistune (CVE-2026-44897). Risque d'opérations non autorisées ou de divulgation. Exploitable via toc_1. Atténuation : mise à jour vers 3.2.1 ou plus. CVE-2026-44897
- Moyenne 6.1 XSS (Cross-Site Scripting) dans mistune XSS dans mistune (CVE-2026-44896). Risque d'opérations non autorisées ou de divulgation. Exploitable via figclass. Atténuation : mise à jour vers 3.2.1 ou plus. CVE-2026-44896
- Moyenne 6.1 XSS (Cross-Site Scripting) dans mistune XSS dans mistune (CVE-2026-44708). Risque d'opérations non autorisées ou de divulgation. Exploitable via _escape. CVE-2026-44708
- Élevée 8.9 XSS (Cross-Site Scripting) dans Postiz XSS dans Postiz (CVE-2026-42556). Des informations confidentielles peuvent être exposées. CVE-2026-42556
- Moyenne 6.3 XSS (Cross-Site Scripting) dans Grimmory XSS dans Grimmory (CVE-2026-42451). Des informations confidentielles peuvent être exposées. CVE-2026-42451
- Élevée 7.6 XSS (Cross-Site Scripting) dans ipl/web XSS dans ipl/web (CVE-2026-42224). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 0.10.3 ou plus. CVE-2026-42224
- Élevée 7.3 XSS (Cross-Site Scripting) dans open-webui XSS dans open-webui (CVE-2026-44549). Des informations confidentielles peuvent être exposées. Exploitable via XLSX.utils.sheet_to_html. Atténuation : mise à jour vers 0.8.0 ou plus. CVE-2026-44549
- Moyenne 4.8 XSS (Cross-Site Scripting) dans snipe/snipe-it XSS dans snipe/snipe-it (CVE-2026-44831). Risque d'opérations non autorisées ou de divulgation. Exploitable via notes. Atténuation : mise à jour vers 8.4.1 ou plus. CVE-2026-44831
- Moyenne 4.8 XSS (Cross-Site Scripting) dans open-webui XSS dans open-webui (CVE-2026-44568). Risque d'opérations non autorisées ou de divulgation. Exploitable via AccountPending.svelte. Atténuation : mise à jour vers 0.9.0 ou plus. CVE-2026-44568
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Plunk XSS dans Plunk (CVE-2026-42192). Risque d'opérations non autorisées ou de divulgation. CVE-2026-42192
- Non évaluée XSS (Cross-Site Scripting) dans getgrav/grav XSS dans getgrav/grav (CVE-2026-44737). Risque d'opérations non autorisées ou de divulgation. Exploitable via GET /admin/pages/. Atténuation : mise à jour vers 1.7.49.5 ou plus. CVE-2026-44737
- Non évaluée Vulnérabilité dans github.com/siyuan-note/siyuan/kernel CVE-2026-44588
- Élevée 7.3 XSS (Cross-Site Scripting) dans open-webui XSS dans open-webui (CVE-2026-44721). Des informations confidentielles peuvent être exposées. Exploitable via marked. Atténuation : mise à jour vers 0.9.0 ou plus. CVE-2026-44721
- Moyenne 5.4 Vulnérabilité dans github.com/modelcontextprotocol/registry CVE-2026-44429
- Critique 9.3 XSS (Cross-Site Scripting) dans prestashop/prestashop XSS dans prestashop/prestashop (CVE-2026-44212). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 9.1.1 ou plus. CVE-2026-44212