slug: cwe-79
Explication
CWE-79は「Webアプリがユーザー入力をきちんと無害化せずに画面に出力してしまう欠陥」のことです。
結果として、攻撃者はWebページに悪意あるJavaScriptを埋め込めるようになり、見た人のCookie (ログイン情報) や入力情報を盗めるようになります。
対策はWebの基本中の基本: 出力時のHTMLエスケープです。
Exemple
MySpace ワーム「Samy」 (2005): 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した。
Liens utiles
Étiquettes liées
Vulnérabilités associées 9,219
- Moyenne 5.4 XSS (Cross-Site Scripting) dans PDF Catalog for WooCommerce (WordPress plugin) XSS dans PDF Catalog for WooCommerce (WordPress plugin) (CVE-2025-12191). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12191
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Omnipress (WordPress plugin) XSS dans Omnipress (WordPress plugin) (CVE-2025-12163). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12163
- Moyenne 4.4 XSS (Cross-Site Scripting) dans FitVids for (WordPress plugin) XSS dans FitVids for (WordPress plugin) (CVE-2025-12124). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12124
- Moyenne 6.4 XSS (Cross-Site Scripting) dans SurveyFunnel – Survey Plugin for (WordPress plugin) XSS dans SurveyFunnel – Survey Plugin for (WordPress plugin) (CVE-2025-12417). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12417
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Watchguard Firebox XSS dans Watchguard Firebox (CVE-2025-6946). Risque d'opérations non autorisées ou de divulgation. CVE-2025-6946
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Monkeytype is a minimalistic XSS dans Monkeytype is a minimalistic (CVE-2025-66563). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66563
- Élevée 7.3 XSS (Cross-Site Scripting) dans SysReptor XSS dans SysReptor (CVE-2025-66561). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2025.102 ou plus. CVE-2025-66561
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WatchGuard Fireware OS XSS dans WatchGuard Fireware OS (CVE-2025-13939). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13939
- Moyenne 5.4 XSS (Cross-Site Scripting) dans TranzAxis XSS dans TranzAxis (CVE-2025-66574). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66574
- Élevée 8.7 XSS (Cross-Site Scripting) dans Open WebUI XSS dans Open WebUI (CVE-2025-65959). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 0.6.37 ou plus. CVE-2025-65959
- Non évaluée Due to a regression introduced in version 3.83.0, a security header is no longer applied to certain user-uploaded… Faille signalée : XSS (CVE-2025-13488). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13488
- Faible 2.4 XSS (Cross-Site Scripting) dans JIZHICMS XSS dans JIZHICMS (CVE-2025-14013). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14013
- Faible 3.5 XSS (Cross-Site Scripting) dans dayrui XunRuiCMS XSS dans dayrui XunRuiCMS (CVE-2025-14006). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14006
- Faible 2.0 XSS (Cross-Site Scripting) dans dayrui XunRuiCMS XSS dans dayrui XunRuiCMS (CVE-2025-14007). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14007
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Seafile XSS dans Seafile (CVE-2025-41080). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41080
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Seafile XSS dans Seafile (CVE-2025-41079). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41079
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Clik stats (WordPress plugin) XSS dans Clik stats (WordPress plugin) (CVE-2025-13513). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13513
- Élevée 7.2 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-11727). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11727
- Moyenne 6.4 Vulnérabilité dans Nextcloud CVE-2025-59788
- Élevée 7.6 XSS (Cross-Site Scripting) dans Rommapp XSS dans Rommapp (CVE-2025-65027). Les données peuvent être altérées par des attaquants. Atténuation : mise à jour vers 4.4.1 ou plus. CVE-2025-65027
- Moyenne 5.5 XSS (Cross-Site Scripting) dans HCL Technologies Limited HCLTech DRAGON XSS dans HCL Technologies Limited HCLTech DRAGON (CVE-2025-63401). Les données peuvent être altérées par des attaquants. CVE-2025-63401
- Critique 9.6 Injection de code dans Mermaid diagram renderer CVE-2025-66222
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Avtech XSS dans Avtech (CVE-2025-57202). Risque d'opérations non autorisées ou de divulgation. CVE-2025-57202
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Autoptimize (WordPress plugin) XSS dans Autoptimize (WordPress plugin) (CVE-2025-13401). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13401
- Moyenne 6.4 XSS (Cross-Site Scripting) dans CSSIgniter Shortcodes (WordPress plugin) XSS dans CSSIgniter Shortcodes (WordPress plugin) (CVE-2025-13448). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13448
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-66459). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.35.3 ou plus. CVE-2025-66459
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-66460). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.35.3 ou plus. CVE-2025-66460
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-66458). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.35.3 ou plus. CVE-2025-66458
- Élevée 8.1 XSS (Cross-Site Scripting) dans Google Chrome XSS dans Google Chrome (CVE-2025-13639). Des informations confidentielles peuvent être exposées. CVE-2025-13639
- Élevée 7.6 XSS (Cross-Site Scripting) dans Aimeos XSS dans Aimeos (CVE-2025-66468). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 2021.10.8 ou plus. CVE-2025-66468