slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Vvveb XSS dans Vvveb (CVE-2026-34429). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34429
- Faible 3.5 XSS (Cross-Site Scripting) dans Email Encoder (WordPress plugin) XSS dans Email Encoder (WordPress plugin) (CVE-2024-7083). Risque d'opérations non autorisées ou de divulgation. CVE-2024-7083
- Exploitée Élevée Traversée de chemin dans Kentico path-traversal CVE-2025-2749
- Exploitée Élevée XSS (Cross-Site Scripting) dans Synacor zimbra-collaboration-suite-zcs XSS dans Synacor zimbra-collaboration-suite-zcs (CVE-2025-48700). Risque d'opérations non autorisées ou de divulgation. Inscrit au CISA KEV — exploitation active confirmée. CVE-2025-48700
- Faible 3.1 Vulnérabilité dans Stirling-PDF CVE-2026-33436
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13364). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13364
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Shortcodes Plugin — Shortcodes Ultimate (WordPress plugin) XSS dans WP Shortcodes Plugin — Shortcodes Ultimate (WordPress plugin) (CVE-2026-3885). Risque d'opérations non autorisées ou de divulgation. CVE-2026-3885
- Moyenne 6.5 XSS (Cross-Site Scripting) dans YouTube Showcase XSS dans YouTube Showcase (CVE-2025-15636). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15636
- Élevée 8.9 A Stored Cross-Site Scripting vulnerability was discovered in the Assets and Nodes functionality... Faille signalée : XSS (CVE-2025-40899). Les données peuvent être altérées par des attaquants. CVE-2025-40899
- Moyenne 5.4 XSS (Cross-Site Scripting) dans GROWI XSS dans GROWI (CVE-2026-26291). Risque d'opérations non autorisées ou de divulgation. CVE-2026-26291
- Moyenne 4.8 XSS (Cross-Site Scripting) dans october/rain XSS dans october/rain (CVE-2026-25133). Risque d'opérations non autorisées ou de divulgation. Exploitable via media.library.create. Atténuation : mise à jour vers 3.7.14 ou plus. CVE-2026-25133
- Moyenne 4.6 XSS (Cross-Site Scripting) dans Docmost XSS dans Docmost (CVE-2026-33193). Risque d'opérations non autorisées ou de divulgation. CVE-2026-33193
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Chamilo LMS XSS dans Chamilo LMS (CVE-2026-34161). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34161
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-27222). Risque d'opérations non autorisées ou de divulgation. CVE-2026-27222
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Adobe Experience Manager XSS dans Adobe Experience Manager (CVE-2026-34624). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34624
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Adobe Experience Manager XSS dans Adobe Experience Manager (CVE-2026-34625). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34625
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Adobe Experience Manager XSS dans Adobe Experience Manager (CVE-2026-34623). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34623
- Moyenne 6.1 XSS (Cross-Site Scripting) dans /studentms/admin/contact-us.php XSS dans /studentms/admin/contact-us.php (CVE-2025-65134). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65134
- Moyenne 6.1 Reflected Cross-Site Scripting (XSS) Vulnerability in Radware Alteon 34.5.4.0 vADC load-balancer allows an attacker to… Faille signalée : vulnérabilité (CVE-2026-5754). Risque d'opérations non autorisées ou de divulgation. CVE-2026-5754
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-34614). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34614
- Élevée 8.7 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-34617). Des informations confidentielles peuvent être exposées. CVE-2026-34617
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Adobe Experience Manager XSS dans Adobe Experience Manager (CVE-2026-27288). Risque d'opérations non autorisées ou de divulgation. CVE-2026-27288
- Moyenne 5.4 XSS (Cross-Site Scripting) dans DNG SDK XSS dans DNG SDK (CVE-2026-27258). Risque d'opérations non autorisées ou de divulgation. CVE-2026-27258
- Critique 9.3 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-27246). Des informations confidentielles peuvent être exposées. CVE-2026-27246
- Critique 9.3 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-27245). Des informations confidentielles peuvent être exposées. CVE-2026-27245
- Critique 9.3 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-27243). Des informations confidentielles peuvent être exposées. CVE-2026-27243
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Adobe macOS XSS dans Adobe macOS (CVE-2026-21331). Risque d'opérations non autorisées ou de divulgation. CVE-2026-21331
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Fortinet FortiSandbox XSS dans Fortinet FortiSandbox (CVE-2025-61886). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61886
- Moyenne 6.9 XSS (Cross-Site Scripting) dans Keycloak XSS dans Keycloak (CVE-2026-37980). Des informations confidentielles peuvent être exposées. Exploitable via organization.alias. CVE-2026-37980
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Snipe-IT web-based asset management system v8.3.0 to up XSS dans Snipe-IT web-based asset management system v8.3.0 to up (CVE-2025-63743). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 8.3.2 ou plus. CVE-2025-63743