slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Non évaluée XSS (Cross-Site Scripting) dans mantisbt/mantisbt XSS dans mantisbt/mantisbt (CVE-2026-34463). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.28.2 ou plus. CVE-2026-34463
- Moyenne 4.0 Vulnérabilité dans cowlib CVE-2026-43968
- Moyenne 6.1 Cross Site Scripting vulnerability in iotgateway v.3.0.1 allows a remote attacker to execute... Faille signalée : XSS (CVE-2026-36906). Risque d'opérations non autorisées ou de divulgation. CVE-2026-36906
- Moyenne 5.4 XSS (Cross-Site Scripting) dans HireFlow XSS dans HireFlow (CVE-2026-38569). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /candidates/add. CVE-2026-38569
- Moyenne 5.7 Taiga is a project management platform for startups and agile developers. Prior 6.9.1, Taiga front is vulnerable to… Faille signalée : XSS (CVE-2026-41250). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 6.9.1 ou plus. CVE-2026-41250
- Moyenne 5.4 XSS (Cross-Site Scripting) dans getgrav/grav XSS dans getgrav/grav (CVE-2026-42842). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 9.1.0 ou plus. CVE-2026-42842
- Moyenne 4.8 XSS (Cross-Site Scripting) dans pgadmin4 XSS dans pgadmin4 (CVE-2026-7814). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 9.15 ou plus. CVE-2026-7814
- Élevée 8.9 XSS (Cross-Site Scripting) dans getgrav/grav XSS dans getgrav/grav (CVE-2026-42611). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2.0.0-beta.2 ou plus. CVE-2026-42611
- Élevée 8.5 XSS (Cross-Site Scripting) dans getgrav/grav XSS dans getgrav/grav (CVE-2026-42612). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2.0.0-beta.2 ou plus. CVE-2026-42612
- Non évaluée Reflected Cross-Site Scripting (XSS) in the latest demo version of the Cradle eCommerce platform.... Faille signalée : XSS (CVE-2026-3320). Risque d'opérations non autorisées ou de divulgation. CVE-2026-3320
- Non évaluée Reflected Cross-Site Scripting (XSS) in the latest demo version of the Cradle eCommerce platform.... Faille signalée : XSS (CVE-2026-3319). Risque d'opérations non autorisées ou de divulgation. CVE-2026-3319
- Moyenne 6.1 docuFORM Managed Print Service Client 11.11c is vulnerable to a reflected cross site scripting... Faille signalée : XSS (CVE-2025-65417). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65417
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61308). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61308
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61309). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61309
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61310). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61310
- Élevée 7.3 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61311). Des informations confidentielles peuvent être exposées. CVE-2025-61311
- Élevée 7.3 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61312). Des informations confidentielles peuvent être exposées. CVE-2025-61312
- Élevée 7.3 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61313). Des informations confidentielles peuvent être exposées. CVE-2025-61313
- Élevée 7.3 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61314). Des informations confidentielles peuvent être exposées. CVE-2025-61314
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61305). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61305
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61306). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61306
- Moyenne 6.1 XSS (Cross-Site Scripting) dans GmbH Mecury Managed Print Services (docuForm) XSS dans GmbH Mecury Managed Print Services (docuForm) (CVE-2025-61307). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61307
- Moyenne 4.7 XSS (Cross-Site Scripting) dans next XSS dans next (CVE-2026-44581). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 16.2.5 ou plus. CVE-2026-44581
- Moyenne 6.1 XSS (Cross-Site Scripting) dans next XSS dans next (CVE-2026-44580). Risque d'opérations non autorisées ou de divulgation. Exploitable via beforeInteractive. Atténuation : mise à jour vers 16.2.5 ou plus. CVE-2026-44580
- Non évaluée XSS (Cross-Site Scripting) dans ATutor XSS dans ATutor (CVE-2026-6909). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6909
- Non évaluée XSS (Cross-Site Scripting) dans ATutor XSS dans ATutor (CVE-2026-6956). Risque d'opérations non autorisées ou de divulgation. CVE-2026-6956
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8262). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8262
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8256). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8256
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8253). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8253
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8254). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8254