slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,588
- Élevée 7.1 XSS (Cross-Site Scripting) dans WPCHURCH XSS dans WPCHURCH (CVE-2025-31642). Risque d'opérations non autorisées ou de divulgation. CVE-2025-31642
- Élevée 7.1 XSS (Cross-Site Scripting) dans Woocommerce Sales Funnel Builder XSS dans Woocommerce Sales Funnel Builder (CVE-2025-30631). Risque d'opérations non autorisées ou de divulgation. CVE-2025-30631
- Moyenne 6.5 XSS (Cross-Site Scripting) dans TheGem Theme Elements XSS dans TheGem Theme Elements (CVE-2025-69357). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69357
- Moyenne 5.9 XSS (Cross-Site Scripting) dans UiChemy XSS dans UiChemy (CVE-2025-69362). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69362
- Moyenne 6.5 XSS (Cross-Site Scripting) dans TheGem Theme Elements XSS dans TheGem Theme Elements (CVE-2025-69360). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69360
- Moyenne 5.9 XSS (Cross-Site Scripting) dans Accordion XSS dans Accordion (CVE-2025-69350). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69350
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Wishlist for WooCommerce XSS dans Wishlist for WooCommerce (CVE-2025-69334). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69334
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Team Showcase XSS dans Team Showcase (CVE-2025-69335). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69335
- Élevée 7.1 XSS (Cross-Site Scripting) dans JobBank XSS dans JobBank (CVE-2025-69085). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69085
- Élevée 7.1 XSS (Cross-Site Scripting) dans Photo Gallery XSS dans Photo Gallery (CVE-2025-69084). Risque d'opérations non autorisées ou de divulgation. CVE-2025-69084
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Joomla XSS dans Joomla (CVE-2025-63083). Risque d'opérations non autorisées ou de divulgation. CVE-2025-63083
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Joomla XSS dans Joomla (CVE-2025-63082). Risque d'opérations non autorisées ou de divulgation. CVE-2025-63082
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Phlox (WordPress theme) XSS dans Phlox (WordPress theme) (CVE-2025-4776). Risque d'opérations non autorisées ou de divulgation. CVE-2025-4776
- Élevée 7.2 XSS (Cross-Site Scripting) dans vega-functions XSS dans vega-functions (CVE-2025-66648). Risque d'opérations non autorisées ou de divulgation. Exploitable via vega.expressionInterpreter. Atténuation : mise à jour vers 6.1.1 ou plus. CVE-2025-66648
- Élevée 8.1 XSS (Cross-Site Scripting) dans Vega XSS dans Vega (CVE-2025-65110). Des informations confidentielles peuvent être exposées. Exploitable via vega. CVE-2025-65110
- Élevée 8.0 Vulnérabilité dans Coollabs CVE-2025-59158
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Dokan Pro XSS dans Dokan Pro (CVE-2025-39497). Risque d'opérations non autorisées ou de divulgation. CVE-2025-39497
- Élevée 7.5 XSS (Cross-Site Scripting) dans UCRM Argentina AFIP invoices Plugin XSS dans UCRM Argentina AFIP invoices Plugin (CVE-2025-59467). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-59467
- Non évaluée Action captions in Vaadin accept HTML by default but were not sanitized, potentially allowing Cross-site Scripting… Faille signalée : XSS (CVE-2025-15022). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15022
- Faible 3.5 Vulnérabilité dans FlexTable (WordPress plugin) CVE-2025-9543
- Faible 3.1 XSS (Cross-Site Scripting) dans zhanglun lettura XSS dans zhanglun lettura (CVE-2025-15454). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15454
- Faible 2.4 XSS (Cross-Site Scripting) dans xnx3 wangmarket XSS dans xnx3 wangmarket (CVE-2025-15452). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15452
- Faible 2.4 XSS (Cross-Site Scripting) dans xnx3 wangmarket XSS dans xnx3 wangmarket (CVE-2025-15451). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15451
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Kentico Xperience XSS dans Kentico Xperience (CVE-2025-5591). Risque d'opérations non autorisées ou de divulgation. CVE-2025-5591
- Moyenne 4.9 XSS (Cross-Site Scripting) dans Artifactory XSS dans Artifactory (CVE-2025-14830). Des informations confidentielles peuvent être exposées. CVE-2025-14830
- Moyenne 6.1 XSS (Cross-Site Scripting) dans QuMagie XSS dans QuMagie (CVE-2025-62857). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62857
- Faible 3.5 XSS (Cross-Site Scripting) dans LigeroSmart XSS dans LigeroSmart (CVE-2025-15437). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15437
- Faible 2.4 XSS (Cross-Site Scripting) dans xnx3 wangmarket XSS dans xnx3 wangmarket (CVE-2025-15416). Risque d'opérations non autorisées ou de divulgation. CVE-2025-15416
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Linux Windows XSS dans Linux Windows (CVE-2025-67709). Risque d'opérations non autorisées ou de divulgation. CVE-2025-67709
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Linux Windows XSS dans Linux Windows (CVE-2025-67710). Risque d'opérations non autorisées ou de divulgation. CVE-2025-67710