slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,588
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13728). Risque d'opérations non autorisées ou de divulgation. Exploitable via fluent_auth_reset_password. CVE-2025-13728
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Elastic Kibana XSS dans Elastic Kibana (CVE-2025-37732). Risque d'opérations non autorisées ou de divulgation. CVE-2025-37732
- Élevée 7.1 Vulnérabilité dans URL Shortify (WordPress plugin) CVE-2025-13355
- Élevée 7.1 Vulnérabilité dans URL Shortify (WordPress plugin) CVE-2025-12684
- Moyenne 5.4 XSS (Cross-Site Scripting) dans MISP XSS dans MISP (CVE-2025-67906). Risque d'opérations non autorisées ou de divulgation. CVE-2025-67906
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Lightweight Accordion (WordPress plugin) XSS dans Lightweight Accordion (WordPress plugin) (CVE-2025-13740). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13740
- Moyenne 4.3 XSS (Cross-Site Scripting) dans mayan-edms XSS dans mayan-edms (CVE-2025-14691). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 4.10.2 ou plus. CVE-2025-14691
- Faible 2.4 XSS (Cross-Site Scripting) dans code-projects Student File Management System XSS dans code-projects Student File Management System (CVE-2025-14662). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14662
- Faible 2.4 XSS (Cross-Site Scripting) dans code-projects Student File Management System XSS dans code-projects Student File Management System (CVE-2025-14663). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14663
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Addon Elements for Elementor (WordPress plugin) XSS dans Addon Elements for Elementor (WordPress plugin) (CVE-2025-12537). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12537
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-9856). Risque d'opérations non autorisées ou de divulgation. CVE-2025-9856
- Moyenne 6.4 XSS (Cross-Site Scripting) dans a3 Lazy Load (WordPress plugin) XSS dans a3 Lazy Load (WordPress plugin) (CVE-2025-9873). Risque d'opérations non autorisées ou de divulgation. CVE-2025-9873
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Redux Framework (WordPress plugin) XSS dans Redux Framework (WordPress plugin) (CVE-2025-9488). Risque d'opérations non autorisées ou de divulgation. CVE-2025-9488
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Livemesh SiteOrigin Widgets (WordPress plugin) XSS dans Livemesh SiteOrigin Widgets (WordPress plugin) (CVE-2025-8780). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8780
- Moyenne 5.8 Vulnérabilité dans WPS Visitor Counter (WordPress plugin) CVE-2025-9116
- Moyenne 6.4 XSS (Cross-Site Scripting) dans All-in-One Addons for Elementor – WidgetKit (WordPress plugin) XSS dans All-in-One Addons for Elementor – WidgetKit (WordPress plugin) (CVE-2025-8779). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8779
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Enter Addons (WordPress plugin) XSS dans Enter Addons (WordPress plugin) (CVE-2025-8687). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8687
- Moyenne 6.4 XSS (Cross-Site Scripting) dans YITH WooCommerce Quick View (WordPress plugin) XSS dans YITH WooCommerce Quick View (WordPress plugin) (CVE-2025-8617). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8617
- Moyenne 6.4 XSS (Cross-Site Scripting) dans MarqueeAddons (WordPress plugin) XSS dans MarqueeAddons (WordPress plugin) (CVE-2025-8199). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8199
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Kingcabs (WordPress theme) XSS dans Kingcabs (WordPress theme) (CVE-2025-7058). Risque d'opérations non autorisées ou de divulgation. CVE-2025-7058
- Moyenne 6.4 XSS (Cross-Site Scripting) dans JetWidgets For Elementor (WordPress plugin) XSS dans JetWidgets For Elementor (WordPress plugin) (CVE-2025-8195). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8195
- Moyenne 6.4 XSS (Cross-Site Scripting) dans King Addons for Elementor (WordPress plugin) XSS dans King Addons for Elementor (WordPress plugin) (CVE-2025-7960). Risque d'opérations non autorisées ou de divulgation. CVE-2025-7960
- Moyenne 5.4 XSS (Cross-Site Scripting) dans ShineLan-X XSS dans ShineLan-X (CVE-2025-36750). Risque d'opérations non autorisées ou de divulgation. CVE-2025-36750
- Moyenne 5.4 XSS (Cross-Site Scripting) dans ShineLan-X XSS dans ShineLan-X (CVE-2025-36748). Risque d'opérations non autorisées ou de divulgation. CVE-2025-36748
- Moyenne 6.4 XSS (Cross-Site Scripting) dans HT Slider for Elementor (WordPress plugin) XSS dans HT Slider for Elementor (WordPress plugin) (CVE-2025-14278). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14278
- Moyenne 4.4 XSS (Cross-Site Scripting) dans Quick Testimonials (WordPress plugin) XSS dans Quick Testimonials (WordPress plugin) (CVE-2025-14378). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14378
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Custom Frames (WordPress plugin) XSS dans Custom Frames (WordPress plugin) (CVE-2025-13705). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13705
- Moyenne 4.4 XSS (Cross-Site Scripting) dans Custom Post Type UI (WordPress plugin) XSS dans Custom Post Type UI (WordPress plugin) (CVE-2025-14056). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14056
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WP to LinkedIn Auto Publish (WordPress plugin) XSS dans WP to LinkedIn Auto Publish (WordPress plugin) (CVE-2025-12077). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12077
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-12109). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12109