slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,588
- Moyenne 6.3 XSS (Cross-Site Scripting) dans Foxit XSS dans Foxit (CVE-2025-66502). Des informations confidentielles peuvent être exposées. CVE-2025-66502
- Élevée 8.2 XSS (Cross-Site Scripting) dans Office Out-of-Box Experience XSS dans Office Out-of-Box Experience (CVE-2025-64677). Des informations confidentielles peuvent être exposées. CVE-2025-64677
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Craigtaub XSS dans Craigtaub (CVE-2025-63947). Risque d'opérations non autorisées ou de divulgation. CVE-2025-63947
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Yohanawi XSS dans Yohanawi (CVE-2025-63949). Risque d'opérations non autorisées ou de divulgation. CVE-2025-63949
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Zohocorp ManageEngine Applications Manager XSS dans Zohocorp ManageEngine Applications Manager (CVE-2025-9787). Des informations confidentielles peuvent être exposées. CVE-2025-9787
- Moyenne 4.7 XSS (Cross-Site Scripting) dans Nozominetworks XSS dans Nozominetworks (CVE-2025-40891). Risque d'opérations non autorisées ou de divulgation. CVE-2025-40891
- Élevée 8.1 XSS (Cross-Site Scripting) dans Return Policy" configuration field XSS dans Return Policy" configuration field (CVE-2025-68147). Des informations confidentielles peuvent être exposées. CVE-2025-68147
- Moyenne 5.4 XSS (Cross-Site Scripting) dans ChurchCRM XSS dans ChurchCRM (CVE-2025-67875). Risque d'opérations non autorisées ou de divulgation. CVE-2025-67875
- Critique 9.6 XSS (Cross-Site Scripting) dans DriveLock Operations Center XSS dans DriveLock Operations Center (CVE-2025-67787). Des informations confidentielles peuvent être exposées. CVE-2025-67787
- Moyenne 6.1 XSS (Cross-Site Scripting) dans SLiMS XSS dans SLiMS (CVE-2025-65233). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65233
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Sale XSS dans Sale (CVE-2025-66924). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66924
- Élevée 7.2 Vulnérabilité dans Sale CVE-2025-66923
- Élevée 7.2 Vulnérabilité dans Sale CVE-2025-66921
- Moyenne 6.3 XSS (Cross-Site Scripting) dans OBS (Student Affairs Information System)0 XSS dans OBS (Student Affairs Information System)0 (CVE-2025-14347). Des informations confidentielles peuvent être exposées. CVE-2025-14347
- Élevée 7.1 XSS (Cross-Site Scripting) dans Crafty Controller XSS dans Crafty Controller (CVE-2025-14701). Des informations confidentielles peuvent être exposées. CVE-2025-14701
- Moyenne 6.1 XSS (Cross-Site Scripting) dans nopCommerce XSS dans nopCommerce (CVE-2025-65592). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65592
- Moyenne 5.4 XSS (Cross-Site Scripting) dans nopCommerce XSS dans nopCommerce (CVE-2025-65591). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65591
- Moyenne 5.4 XSS (Cross-Site Scripting) dans nopCommerce XSS dans nopCommerce (CVE-2025-65590). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65590
- Moyenne 6.1 XSS (Cross-Site Scripting) dans nopCommerce XSS dans nopCommerce (CVE-2025-65589). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65589
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Glpi XSS dans Glpi (CVE-2025-59935). Des informations confidentielles peuvent être exposées. CVE-2025-59935
- Moyenne 6.5 XSS (Cross-Site Scripting) dans VK Google Job Posting Manager XSS dans VK Google Job Posting Manager (CVE-2025-68070). Risque d'opérations non autorisées ou de divulgation. CVE-2025-68070
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Parse Server's password reset XSS dans Parse Server's password reset (CVE-2025-68115). Risque d'opérations non autorisées ou de divulgation. CVE-2025-68115
- Moyenne 6.5 Vulnérabilité dans ChurchCRM CVE-2025-67874
- Critique 9.6 Injection de code dans DeepChat CVE-2025-67744
- Faible 2.4 XSS (Cross-Site Scripting) dans vion707 DMadmin XSS dans vion707 DMadmin (CVE-2025-14722). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14722
- Moyenne 5.4 XSS (Cross-Site Scripting) dans grav XSS dans grav (CVE-2025-66843). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66843
- Moyenne 6.4 XSS (Cross-Site Scripting) dans LearnPress – WordPress LMS Plugin (WordPress plugin) XSS dans LearnPress – WordPress LMS Plugin (WordPress plugin) (CVE-2025-14387). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14387
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13367). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13367
- Moyenne 6.4 XSS (Cross-Site Scripting) dans CC Child Pages (WordPress plugin) XSS dans CC Child Pages (WordPress plugin) (CVE-2025-13608). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13608
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13610). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13610