slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Élevée 7.1 CSRF dans WP sIFR Vulnérabilité dans WP sIFR (CVE-2025-49347). Risque d'opérations non autorisées ou de divulgation. CVE-2025-49347
- Moyenne 6.1 Vulnérabilité dans SAP NetWeaver Enterprise Portal CVE-2025-42872
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41748). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41748
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41750). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41750
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41749). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41749
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41751). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41751
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41752). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41752
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41746). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41746
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41745). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41745
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41747). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41747
- Élevée 7.1 XSS (Cross-Site Scripting) dans Phoenixcontact XSS dans Phoenixcontact (CVE-2025-41695). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41695
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Tiptap XSS dans Tiptap (CVE-2025-14284). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14284
- Élevée 7.2 XSS (Cross-Site Scripting) dans Login Security, FireWall, Malware removal by CleanTalk (WordPress plugin) XSS dans Login Security, FireWall, Malware removal by CleanTalk (WordPress plugin) (CVE-2025-13604). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13604
- Élevée 7.1 XSS (Cross-Site Scripting) dans Custom Admin Menu (WordPress plugin) XSS dans Custom Admin Menu (WordPress plugin) (CVE-2025-13071). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13071
- Élevée 7.2 XSS (Cross-Site Scripting) dans Social Reviews & Recommendations (WordPress plugin) XSS dans Social Reviews & Recommendations (WordPress plugin) (CVE-2025-12705). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12705
- Moyenne 5.9 Vulnérabilité dans WPeMatico RSS Feed Fetcher (WordPress plugin) CVE-2025-13031
- Moyenne 5.3 XSS (Cross-Site Scripting) dans e-BAP Automation XSS dans e-BAP Automation (CVE-2025-10876). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10876
- Critique 9.6 XSS (Cross-Site Scripting) dans Ivanti Endpoint Manager XSS dans Ivanti Endpoint Manager (CVE-2025-10573). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-10573
- Critique 9.6 XSS (Cross-Site Scripting) dans DeepChat XSS dans DeepChat (CVE-2025-66481). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-66481
- Moyenne 5.4 XSS (Cross-Site Scripting) dans IBM WebSphere Application Server XSS dans IBM WebSphere Application Server (CVE-2025-12635). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12635
- Faible 3.5 XSS (Cross-Site Scripting) dans R.V.R XSS dans R.V.R (CVE-2025-65228). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65228
- Moyenne 4.6 XSS (Cross-Site Scripting) dans Lyrion Music Server XSS dans Lyrion Music Server (CVE-2025-65229). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65229
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Barix Instreamer XSS dans Barix Instreamer (CVE-2025-65230). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65230
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Barix Instreamer XSS dans Barix Instreamer (CVE-2025-65231). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65231
- Non évaluée In affected versions, vulnerability-lookup handled user-controlled content in comments and bundles in an unsafe way… Faille signalée : XSS (CVE-2025-42620). Risque d'opérations non autorisées ou de divulgation. CVE-2025-42620
- Faible 2.4 XSS (Cross-Site Scripting) dans GreenCMS XSS dans GreenCMS (CVE-2025-14244). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14244
- Faible 3.5 XSS (Cross-Site Scripting) dans Yealink SIP-T21P E2 XSS dans Yealink SIP-T21P E2 (CVE-2025-14228). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14228
- Élevée 8.7 XSS (Cross-Site Scripting) dans 3Ds XSS dans 3Ds (CVE-2025-12956). Des informations confidentielles peuvent être exposées. CVE-2025-12956
- Faible 3.5 XSS (Cross-Site Scripting) dans SourceCodester Online Banking System XSS dans SourceCodester Online Banking System (CVE-2025-14221). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14221
- Faible 2.4 XSS (Cross-Site Scripting) dans Commerce Membership Management System XSS dans Commerce Membership Management System (CVE-2025-14205). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14205