slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,591
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Simple AL Slider (WordPress plugin) XSS dans Simple AL Slider (WordPress plugin) (CVE-2025-14137). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14137
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-14119). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14119
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Category Dropdown List (WordPress plugin) XSS dans Category Dropdown List (WordPress plugin) (CVE-2025-14132). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14132
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Like DisLike Voting (WordPress plugin) XSS dans Like DisLike Voting (WordPress plugin) (CVE-2025-14129). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14129
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Complag (WordPress plugin) XSS dans Complag (WordPress plugin) (CVE-2025-14125). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14125
- Moyenne 4.4 XSS (Cross-Site Scripting) dans DebateMaster (WordPress plugin) XSS dans DebateMaster (WordPress plugin) (CVE-2025-14035). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14035
- Moyenne 4.4 XSS (Cross-Site Scripting) dans SimplyConvert (WordPress plugin) XSS dans SimplyConvert (WordPress plugin) (CVE-2025-14048). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14048
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Bold Timeline Lite (WordPress plugin) XSS dans Bold Timeline Lite (WordPress plugin) (CVE-2025-14032). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14032
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Dropzone (WordPress plugin) XSS dans WP Dropzone (WordPress plugin) (CVE-2025-13989). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13989
- Moyenne 6.1 XSS (Cross-Site Scripting) dans 评论小秘书 (WordPress plugin) XSS dans 评论小秘书 (WordPress plugin) (CVE-2025-13988). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13988
- Moyenne 4.4 XSS (Cross-Site Scripting) dans TWW Protein Calculator (WordPress plugin) XSS dans TWW Protein Calculator (WordPress plugin) (CVE-2025-13971). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13971
- Moyenne 4.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13975). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13975
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Paypal Payment Shortcode (WordPress plugin) XSS dans Paypal Payment Shortcode (WordPress plugin) (CVE-2025-13966). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13966
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Data Visualizer (WordPress plugin) XSS dans Data Visualizer (WordPress plugin) (CVE-2025-13961). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13961
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Divelogs Widget (WordPress plugin) XSS dans Divelogs Widget (WordPress plugin) (CVE-2025-13962). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13962
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Reviews Sorted (WordPress plugin) XSS dans Reviews Sorted (WordPress plugin) (CVE-2025-13969). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13969
- Moyenne 6.4 XSS (Cross-Site Scripting) dans FX Currency Converter (WordPress plugin) XSS dans FX Currency Converter (WordPress plugin) (CVE-2025-13963). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13963
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Zenost Shortcodes (WordPress plugin) XSS dans Zenost Shortcodes (WordPress plugin) (CVE-2025-13885). Risque d'opérations non autorisées ou de divulgation. Exploitable via button. CVE-2025-13885
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Hide Email Address (WordPress plugin) XSS dans Hide Email Address (WordPress plugin) (CVE-2025-13884). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13884
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Simple Nivo Slider (WordPress plugin) XSS dans Simple Nivo Slider (WordPress plugin) (CVE-2025-13889). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13889
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WPGancio (WordPress plugin) XSS dans WPGancio (WordPress plugin) (CVE-2025-13904). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13904
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Flot (WordPress plugin) XSS dans WP Flot (WordPress plugin) (CVE-2025-13906). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13906
- Moyenne 6.4 XSS (Cross-Site Scripting) dans GPXpress (WordPress plugin) XSS dans GPXpress (WordPress plugin) (CVE-2025-13960). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13960
- Moyenne 6.4 XSS (Cross-Site Scripting) dans LS Google Map Router (WordPress plugin) XSS dans LS Google Map Router (WordPress plugin) (CVE-2025-13850). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13850
- Moyenne 6.4 XSS (Cross-Site Scripting) dans BUKAZU Search widget (WordPress plugin) XSS dans BUKAZU Search widget (WordPress plugin) (CVE-2025-13840). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13840
- Moyenne 6.4 XSS (Cross-Site Scripting) dans NewStatPress (WordPress plugin) XSS dans NewStatPress (WordPress plugin) (CVE-2025-13747). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13747
- Moyenne 6.4 XSS (Cross-Site Scripting) dans VigLink SpotLight By ShortCode (WordPress plugin) XSS dans VigLink SpotLight By ShortCode (WordPress plugin) (CVE-2025-13843). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13843
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Easy Map Creator (WordPress plugin) XSS dans Easy Map Creator (WordPress plugin) (CVE-2025-13846). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13846
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Accept Stripe Payments Using Contact Form (WordPress plugin) XSS dans Accept Stripe Payments Using Contact Form (WordPress plugin) (CVE-2025-12834). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12834
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Better Elementor Addons (WordPress plugin) XSS dans Better Elementor Addons (WordPress plugin) (CVE-2025-12830). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12830