slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Faible 2.4 XSS (Cross-Site Scripting) dans alokjaiswal Hotel-Management-services-using-MYSQL-and-php XSS dans alokjaiswal Hotel-Management-services-using-MYSQL-and-php (CVE-2025-14201). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14201
- Faible 3.5 XSS (Cross-Site Scripting) dans alokjaiswal Hotel-Management-services-using-MYSQL-and-php XSS dans alokjaiswal Hotel-Management-services-using-MYSQL-and-php (CVE-2025-14200). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14200
- Faible 3.5 XSS (Cross-Site Scripting) dans code-projects Employee Profile Management System XSS dans code-projects Employee Profile Management System (CVE-2025-14194). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14194
- Faible 3.5 Vulnérabilité dans Grandstream GXP1625 CVE-2025-14186
- Élevée 7.2 XSS (Cross-Site Scripting) dans Rich Shortcodes for Google Reviews (WordPress plugin) XSS dans Rich Shortcodes for Google Reviews (WordPress plugin) (CVE-2025-12499). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12499
- Moyenne 6.4 XSS (Cross-Site Scripting) dans CSS3 Buttons (WordPress plugin) XSS dans CSS3 Buttons (WordPress plugin) (CVE-2025-13907). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13907
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Social Feed Gallery Portfolio (WordPress plugin) XSS dans Social Feed Gallery Portfolio (WordPress plugin) (CVE-2025-13896). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13896
- Moyenne 6.4 XSS (Cross-Site Scripting) dans TR Timthumb (WordPress plugin) XSS dans TR Timthumb (WordPress plugin) (CVE-2025-13899). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13899
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Ultra Skype Button (WordPress plugin) XSS dans Ultra Skype Button (WordPress plugin) (CVE-2025-13898). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13898
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Cute News Ticker (WordPress plugin) XSS dans Cute News Ticker (WordPress plugin) (CVE-2025-13656). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13656
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Extra Post Images (WordPress plugin) XSS dans Extra Post Images (WordPress plugin) (CVE-2025-13856). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13856
- Moyenne 6.1 XSS (Cross-Site Scripting) dans CSV Sumotto (WordPress plugin) XSS dans CSV Sumotto (WordPress plugin) (CVE-2025-13894). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13894
- Moyenne 6.4 XSS (Cross-Site Scripting) dans RevInsite (WordPress plugin) XSS dans RevInsite (WordPress plugin) (CVE-2025-13863). Risque d'opérations non autorisées ou de divulgation. Exploitable via token. CVE-2025-13863
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Yet Another WebClap for (WordPress plugin) XSS dans Yet Another WebClap for (WordPress plugin) (CVE-2025-13857). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13857
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Live Sales Notification for Woocommerce – Woomotiv (WordPress plugin) XSS dans Live Sales Notification for Woocommerce – Woomotiv (WordPress plugin) (CVE-2025-13137). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13137
- Moyenne 6.1 XSS (Cross-Site Scripting) dans myLCO (WordPress plugin) XSS dans myLCO (WordPress plugin) (CVE-2025-13626). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13626
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Application Passwords (WordPress plugin) XSS dans Application Passwords (WordPress plugin) (CVE-2025-13308). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13308
- Moyenne 6.4 XSS (Cross-Site Scripting) dans List Attachments Shortcode (WordPress plugin) XSS dans List Attachments Shortcode (WordPress plugin) (CVE-2025-12717). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12717
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Canadian Nutrition Facts Label (WordPress plugin) XSS dans Canadian Nutrition Facts Label (WordPress plugin) (CVE-2025-12715). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12715
- Élevée 7.2 XSS (Cross-Site Scripting) dans Widgets for Google Reviews (WordPress plugin) XSS dans Widgets for Google Reviews (WordPress plugin) (CVE-2025-12510). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12510
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Link Whisper Free (WordPress plugin) XSS dans Link Whisper Free (WordPress plugin) (CVE-2025-11263). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11263
- Critique 9.6 XSS (Cross-Site Scripting) dans TUUI XSS dans TUUI (CVE-2025-66562). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 1.3.4 ou plus. CVE-2025-66562
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34266). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34266
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34263). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34263
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34264). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34264
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34265). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34265
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34261). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34261
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34257). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34257
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34258). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34258
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34260). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34260