slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Élevée 7.2 XSS (Cross-Site Scripting) dans MyBB Downloads Plugin XSS dans MyBB Downloads Plugin (CVE-2018-25248). Risque d'opérations non autorisées ou de divulgation. CVE-2018-25248
- Moyenne 6.4 XSS (Cross-Site Scripting) dans MyBB My Arcade Plugin XSS dans MyBB My Arcade Plugin (CVE-2018-25249). Risque d'opérations non autorisées ou de divulgation. CVE-2018-25249
- Élevée 7.2 XSS (Cross-Site Scripting) dans Visitor Traffic Real Time Statistics (WordPress plugin) XSS dans Visitor Traffic Real Time Statistics (WordPress plugin) (CVE-2026-2936). Risque d'opérations non autorisées ou de divulgation. CVE-2026-2936
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2026-0626). Risque d'opérations non autorisées ou de divulgation. CVE-2026-0626
- Élevée 7.2 XSS (Cross-Site Scripting) dans Widgets for Social Photo Feed (WordPress plugin) XSS dans Widgets for Social Photo Feed (WordPress plugin) (CVE-2026-5425). Risque d'opérations non autorisées ou de divulgation. CVE-2026-5425
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2026-2437). Risque d'opérations non autorisées ou de divulgation. CVE-2026-2437
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Shortcodes Plugin - Shortcodes Ultimate (WordPress plugin) XSS dans WP Shortcodes Plugin - Shortcodes Ultimate (WordPress plugin) (CVE-2026-0737). Risque d'opérations non autorisées ou de divulgation. CVE-2026-0737
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Shortcodes Plugin - Shortcodes Ultimate (WordPress plugin) XSS dans WP Shortcodes Plugin - Shortcodes Ultimate (WordPress plugin) (CVE-2026-0738). Risque d'opérations non autorisées ou de divulgation. CVE-2026-0738
- Moyenne 6.4 XSS (Cross-Site Scripting) dans ElementsKit Elementor Addons and Templates (WordPress plugin) XSS dans ElementsKit Elementor Addons and Templates (WordPress plugin) (CVE-2026-2600). Risque d'opérations non autorisées ou de divulgation. CVE-2026-2600
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-15064). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15064
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Simple Shopping Cart (WordPress plugin) XSS dans Simple Shopping Cart (WordPress plugin) (CVE-2026-0552). Risque d'opérations non autorisées ou de divulgation. CVE-2026-0552
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Royal Addons for Elementor (WordPress plugin) XSS dans Royal Addons for Elementor (WordPress plugin) (CVE-2026-0664). Risque d'opérations non autorisées ou de divulgation. CVE-2026-0664
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Xpro Addons — 140+ Widgets for Elementor (WordPress plugin) XSS dans Xpro Addons — 140+ Widgets for Elementor (WordPress plugin) (CVE-2025-13368). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13368
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Xpro Addons — 140+ Widgets for Elementor (WordPress plugin) XSS dans Xpro Addons — 140+ Widgets for Elementor (WordPress plugin) (CVE-2026-2949). Risque d'opérations non autorisées ou de divulgation. CVE-2026-2949
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2026-2924). Risque d'opérations non autorisées ou de divulgation. CVE-2026-2924
- Élevée 8.3 Vulnérabilité dans Electron CVE-2026-34780
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Emlog XSS dans Emlog (CVE-2026-34229). Risque d'opérations non autorisées ou de divulgation. CVE-2026-34229
- Faible 3.5 XSS (Cross-Site Scripting) dans github.com/casdoor/casdoor XSS dans github.com/casdoor/casdoor (CVE-2026-5468). Risque d'opérations non autorisées ou de divulgation. CVE-2026-5468
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-27655). Des informations confidentielles peuvent être exposées. CVE-2026-27655
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-4107). Des informations confidentielles peuvent être exposées. CVE-2026-4107
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-4108). Des informations confidentielles peuvent être exposées. CVE-2026-4108
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-3879). Des informations confidentielles peuvent être exposées. CVE-2026-3879
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-3880). Des informations confidentielles peuvent être exposées. CVE-2026-3880
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-28703). Des informations confidentielles peuvent être exposées. CVE-2026-28703
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-28754). Des informations confidentielles peuvent être exposées. CVE-2026-28754
- Élevée 7.3 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Exchange Reporter Plus XSS dans Zohocorp ManageEngine Exchange Reporter Plus (CVE-2026-28756). Des informations confidentielles peuvent être exposées. CVE-2026-28756
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Roundcube Webmail XSS dans Roundcube Webmail (CVE-2026-35539). Risque d'opérations non autorisées ou de divulgation. CVE-2026-35539
- Moyenne 6.1 XSS (Cross-Site Scripting) dans dompurify XSS dans dompurify (CVE-2026-65912). Risque d'opérations non autorisées ou de divulgation. Exploitable via ADD_ATTR. Atténuation : mise à jour vers 3.3.2 ou plus. CVE-2026-65912
- Moyenne 6.1 Vulnérabilité dans dompurify CVE-2026-65913
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Shynet XSS dans Shynet (CVE-2026-35508). Risque d'opérations non autorisées ou de divulgation. CVE-2026-35508