slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Élevée 7.2 XSS (Cross-Site Scripting) dans LifePress (WordPress plugin) XSS dans LifePress (WordPress plugin) (CVE-2026-6690). Risque d'opérations non autorisées ou de divulgation. Exploitable via wp_ajax_nopriv_lp_update_mds. CVE-2026-6690
- Moyenne 6.1 XSS (Cross-Site Scripting) dans AzonPost (WordPress plugin) XSS dans AzonPost (WordPress plugin) (CVE-2026-7437). Risque d'opérations non autorisées ou de divulgation. Exploitable via editpos_hidden. CVE-2026-7437
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Pricing Tables for WP (WordPress plugin) XSS dans Pricing Tables for WP (WordPress plugin) (CVE-2026-6808). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6808
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WP Google Maps Integration (WordPress plugin) XSS dans WP Google Maps Integration (WordPress plugin) (CVE-2026-7464). Risque d'opérations non autorisées ou de divulgation. Exploitable via page. CVE-2026-7464
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Advanced Social Media Icons (WordPress plugin) XSS dans Advanced Social Media Icons (WordPress plugin) (CVE-2026-7659). Risque d'opérations non autorisées ou de divulgation. Exploitable via social. CVE-2026-7659
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Shortcodely (WordPress plugin) XSS dans Shortcodely (WordPress plugin) (CVE-2026-6913). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6913
- Moyenne 6.4 XSS (Cross-Site Scripting) dans SP Blog Designer (WordPress plugin) XSS dans SP Blog Designer (WordPress plugin) (CVE-2026-4859). Risque d'opérations non autorisées ou de divulgation. Exploitable via wpsbd_post_carousel. CVE-2026-4859
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Next Date (WordPress plugin) XSS dans Next Date (WordPress plugin) (CVE-2026-4920). Risque d'opérations non autorisées ou de divulgation. CVE-2026-4920
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Quick Table (WordPress plugin) XSS dans Quick Table (WordPress plugin) (CVE-2026-6237). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6237
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Fancy Image Show (WordPress plugin) XSS dans Fancy Image Show (WordPress plugin) (CVE-2026-5340). Risque d'opérations non autorisées ou de divulgation. CVE-2026-5340
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Voyage Plus (WordPress plugin) XSS dans Voyage Plus (WordPress plugin) (CVE-2026-5715). Risque d'opérations non autorisées ou de divulgation. CVE-2026-5715
- Moyenne 6.4 XSS (Cross-Site Scripting) dans scratchblocks for WP (WordPress plugin) XSS dans scratchblocks for WP (WordPress plugin) (CVE-2026-6247). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6247
- Moyenne 6.4 XSS (Cross-Site Scripting) dans BJ Lazy Load (WordPress plugin) XSS dans BJ Lazy Load (WordPress plugin) (CVE-2026-2300). Risque d'opérations non autorisées ou de divulgation. Exploitable via preg_replace. CVE-2026-2300
- Moyenne 4.9 XSS (Cross-Site Scripting) dans WP SEO Structured Data Schema (WordPress plugin) XSS dans WP SEO Structured Data Schema (WordPress plugin) (CVE-2026-3604). Risque d'opérations non autorisées ou de divulgation. Exploitable via _kcseo_ative_tab. CVE-2026-3604
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Elecom XSS dans Elecom (CVE-2024-34577). Risque d'opérations non autorisées ou de divulgation. CVE-2024-34577
- Moyenne 4.7 XSS (Cross-Site Scripting) dans Sap Business Server Pages) XSS dans Sap Business Server Pages) (CVE-2026-27682). Risque d'opérations non autorisées ou de divulgation. CVE-2026-27682
- Élevée 8.7 Reserved. Details will be published at disclosure. Faille signalée : XSS (CVE-2026-45392). Des informations confidentielles peuvent être exposées. CVE-2026-45392
- Critique 9.3 XSS (Cross-Site Scripting) dans DeepChat XSS dans DeepChat (CVE-2026-43900). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 1.0.4-beta.1 ou plus. CVE-2026-43900
- Moyenne 6.1 XSS (Cross-Site Scripting) dans github.com/gofiber/fiber/v3 XSS dans github.com/gofiber/fiber/v3 (CVE-2026-42554). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 3.2.0 ou plus. CVE-2026-42554
- Moyenne 6.8 XSS (Cross-Site Scripting) dans WeGIA XSS dans WeGIA (CVE-2026-45026). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 3.7.3 ou plus. CVE-2026-45026
- Moyenne 6.8 XSS (Cross-Site Scripting) dans WeGIA XSS dans WeGIA (CVE-2026-45025). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 3.7.3 ou plus. CVE-2026-45025
- Moyenne 4.5 XSS (Cross-Site Scripting) dans Audiobookshelf XSS dans Audiobookshelf (CVE-2026-42887). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2.33.0 ou plus. CVE-2026-42887
- Non évaluée XSS (Cross-Site Scripting) dans WeGIA XSS dans WeGIA (CVE-2026-42870). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 3.7.0 ou plus. CVE-2026-42870
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WeGIA XSS dans WeGIA (CVE-2026-42872). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 3.7.0 ou plus. CVE-2026-42872
- Faible 3.7 Vulnérabilité dans microdot CVE-2026-42874
- Non évaluée Injection de code dans mermaid CVE-2026-41149
- Non évaluée XSS (Cross-Site Scripting) dans mantisbt/mantisbt XSS dans mantisbt/mantisbt (CVE-2026-40607). Risque d'opérations non autorisées ou de divulgation. Exploitable via g_stored_query_create_threshold. Atténuation : mise à jour vers 2.28.2 ou plus. CVE-2026-40607
- Non évaluée XSS (Cross-Site Scripting) dans mantisbt/mantisbt XSS dans mantisbt/mantisbt (CVE-2026-40598). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.28.2 ou plus. CVE-2026-40598
- Non évaluée XSS (Cross-Site Scripting) dans mantisbt/mantisbt XSS dans mantisbt/mantisbt (CVE-2026-40597). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.28.2 ou plus. CVE-2026-40597
- Non évaluée XSS (Cross-Site Scripting) dans mantisbt/mantisbt XSS dans mantisbt/mantisbt (CVE-2026-40596). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.28.2 ou plus. CVE-2026-40596