slug: cwe-79
Explication
CWE-79は「Webアプリがユーザー入力をきちんと無害化せずに画面に出力してしまう欠陥」のことです。
結果として、攻撃者はWebページに悪意あるJavaScriptを埋め込めるようになり、見た人のCookie (ログイン情報) や入力情報を盗めるようになります。
対策はWebの基本中の基本: 出力時のHTMLエスケープです。
Exemple
MySpace ワーム「Samy」 (2005): 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した。
Liens utiles
Étiquettes liées
Vulnérabilités associées 9,206
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Juzaweb CMS XSS dans Juzaweb CMS (CVE-2026-36358). Risque d'opérations non autorisées ou de divulgation. CVE-2026-36358
- Faible 3.1 Vulnérabilité dans HCL DFXAnalytics CVE-2025-59854
- Moyenne 5.3 Vulnérabilité dans HCL DFXAnalytics CVE-2025-31970
- Moyenne 6.8 XSS (Cross-Site Scripting) dans Zabbix XSS dans Zabbix (CVE-2026-23928). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-23928
- Moyenne 6.8 XSS (Cross-Site Scripting) dans Zabbix XSS dans Zabbix (CVE-2026-23926). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-23926
- Moyenne 6.1 XSS (Cross-Site Scripting) dans github.com/prometheus/prometheus XSS dans github.com/prometheus/prometheus (CVE-2026-44903). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 0.311.3 ou plus. CVE-2026-44903
- Moyenne 5.4 XSS (Cross-Site Scripting) dans phpoffice/phpspreadsheet XSS dans phpoffice/phpspreadsheet (CVE-2026-35453). Risque d'opérations non autorisées ou de divulgation. Exploitable via formatColor. Atténuation : mise à jour vers 1.30.4 ou plus. CVE-2026-35453
- Moyenne 6.1 XSS (Cross-Site Scripting) dans FluentCMS XSS dans FluentCMS (CVE-2026-38947). Risque d'opérations non autorisées ou de divulgation. CVE-2026-38947
- Moyenne 6.1 XSS (Cross-Site Scripting) dans ERPNext XSS dans ERPNext (CVE-2026-38432). Risque d'opérations non autorisées ou de divulgation. CVE-2026-38432
- Moyenne 4.7 XSS (Cross-Site Scripting) dans ISPConfig XSS dans ISPConfig (CVE-2025-52206). Risque d'opérations non autorisées ou de divulgation. CVE-2025-52206
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Traccar XSS dans Traccar (CVE-2026-27694). Risque d'opérations non autorisées ou de divulgation. CVE-2026-27694
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Dify XSS dans Dify (CVE-2026-42138). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /api/files/upload. CVE-2026-42138
- Moyenne 4.6 XSS (Cross-Site Scripting) dans openc3 XSS dans openc3 (CVE-2026-42086). Risque d'opérations non autorisées ou de divulgation. Exploitable via convertToValue. Atténuation : mise à jour vers 7.0.0 ou plus. CVE-2026-42086
- Non évaluée XSS (Cross-Site Scripting) dans beets XSS dans beets (CVE-2026-42052). Risque d'opérations non autorisées ou de divulgation. Exploitable via title. Atténuation : mise à jour vers 2.10.0 ou plus. CVE-2026-42052
- Critique 9.6 XSS (Cross-Site Scripting) dans Notesnook XSS dans Notesnook (CVE-2026-42090). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-42090
- Critique 9.8 XSS (Cross-Site Scripting) dans Online Support Application XSS dans Online Support Application (CVE-2025-14320). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-14320
- Moyenne 6.9 XSS (Cross-Site Scripting) dans V2Board XSS dans V2Board (CVE-2026-37503). Des informations confidentielles peuvent être exposées. CVE-2026-37503
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Opennebula XSS dans Opennebula (CVE-2025-56537). Risque d'opérations non autorisées ou de divulgation. CVE-2025-56537
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Opennebula XSS dans Opennebula (CVE-2025-56534). Risque d'opérations non autorisées ou de divulgation. CVE-2025-56534
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Opennebula XSS dans Opennebula (CVE-2025-56536). Risque d'opérations non autorisées ou de divulgation. CVE-2025-56536
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Opennebula XSS dans Opennebula (CVE-2025-56535). Risque d'opérations non autorisées ou de divulgation. CVE-2025-56535
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Wso2 Identity Server XSS dans Wso2 Identity Server (CVE-2025-10503). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10503
- Élevée 7.2 XSS (Cross-Site Scripting) dans GCHQ CyberChef XSS dans GCHQ CyberChef (CVE-2026-42615). Risque d'opérations non autorisées ou de divulgation. CVE-2026-42615
- Moyenne 5.4 XSS (Cross-Site Scripting) dans phpoffice/phpspreadsheet XSS dans phpoffice/phpspreadsheet (CVE-2026-40296). Risque d'opérations non autorisées ou de divulgation. Exploitable via General. Atténuation : mise à jour vers 1.30.4 ou plus. CVE-2026-40296
- Faible 2.4 XSS (Cross-Site Scripting) dans SourceCodester Pizzafy Ecommerce System XSS dans SourceCodester Pizzafy Ecommerce System (CVE-2026-7296). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7296
- Faible 2.4 XSS (Cross-Site Scripting) dans SourceCodester Pizzafy Ecommerce System XSS dans SourceCodester Pizzafy Ecommerce System (CVE-2026-7297). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7297
- Moyenne 6.1 XSS (Cross-Site Scripting) dans School Management System by mahmoudai1 XSS dans School Management System by mahmoudai1 (CVE-2026-37750). Risque d'opérations non autorisées ou de divulgation. CVE-2026-37750
- Faible 2.4 XSS (Cross-Site Scripting) dans SourceCodester Pizzafy Ecommerce System XSS dans SourceCodester Pizzafy Ecommerce System (CVE-2026-7295). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7295
- Élevée 8.9 XSS (Cross-Site Scripting) dans HTMLy XSS dans HTMLy (CVE-2026-38949). Des informations confidentielles peuvent être exposées. CVE-2026-38949
- Faible 3.5 XSS (Cross-Site Scripting) dans code-projects Coaching Management System XSS dans code-projects Coaching Management System (CVE-2026-7222). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7222