slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34258). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34258
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Advantech WISE-DeviceOn Server XSS dans Advantech WISE-DeviceOn Server (CVE-2025-34262). Risque d'opérations non autorisées ou de divulgation. CVE-2025-34262
- Critique 9.6 XSS (Cross-Site Scripting) dans Fanvil XSS dans Fanvil (CVE-2025-64054). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-64054
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Thai Lottery Widget (WordPress plugin) XSS dans Thai Lottery Widget (WordPress plugin) (CVE-2025-13678). Risque d'opérations non autorisées ou de divulgation. Exploitable via thailottery. CVE-2025-13678
- Moyenne 6.4 XSS (Cross-Site Scripting) dans CryptX (WordPress plugin) XSS dans CryptX (WordPress plugin) (CVE-2025-13739). Risque d'opérations non autorisées ou de divulgation. Exploitable via cryptx. CVE-2025-13739
- Moyenne 4.4 XSS (Cross-Site Scripting) dans Trail Manager (WordPress plugin) XSS dans Trail Manager (WordPress plugin) (CVE-2025-13682). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13682
- Élevée 8.1 XSS (Cross-Site Scripting) dans Cool Tag Cloud (WordPress plugin) XSS dans Cool Tag Cloud (WordPress plugin) (CVE-2025-13614). Des informations confidentielles peuvent être exposées. CVE-2025-13614
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Nouri.sh Newsletter (WordPress plugin) XSS dans Nouri.sh Newsletter (WordPress plugin) (CVE-2025-13515). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13515
- Moyenne 4.4 XSS (Cross-Site Scripting) dans Weekly Planner (WordPress plugin) XSS dans Weekly Planner (WordPress plugin) (CVE-2025-12186). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12186
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Easy Jump Links Menus (WordPress plugin) XSS dans Easy Jump Links Menus (WordPress plugin) (CVE-2025-13860). Risque d'opérations non autorisées ou de divulgation. Exploitable via h_tags. CVE-2025-13860
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Jabbernotification (WordPress plugin) XSS dans Jabbernotification (WordPress plugin) (CVE-2025-13622). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13622
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13625). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13625
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Twitscription (WordPress plugin) XSS dans Twitscription (WordPress plugin) (CVE-2025-13623). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13623
- Moyenne 6.1 XSS (Cross-Site Scripting) dans CoSign Single Signon (WordPress plugin) XSS dans CoSign Single Signon (WordPress plugin) (CVE-2025-13512). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13512
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Sermon Manager (WordPress plugin) XSS dans Sermon Manager (WordPress plugin) (CVE-2025-12368). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12368
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Omnipress (WordPress plugin) XSS dans Omnipress (WordPress plugin) (CVE-2025-12163). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12163
- Moyenne 5.4 XSS (Cross-Site Scripting) dans PDF Catalog for WooCommerce (WordPress plugin) XSS dans PDF Catalog for WooCommerce (WordPress plugin) (CVE-2025-12191). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12191
- Moyenne 4.4 XSS (Cross-Site Scripting) dans FitVids for (WordPress plugin) XSS dans FitVids for (WordPress plugin) (CVE-2025-12124). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12124
- Moyenne 6.4 XSS (Cross-Site Scripting) dans SurveyFunnel – Survey Plugin for (WordPress plugin) XSS dans SurveyFunnel – Survey Plugin for (WordPress plugin) (CVE-2025-12417). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12417
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Watchguard Firebox XSS dans Watchguard Firebox (CVE-2025-6946). Risque d'opérations non autorisées ou de divulgation. CVE-2025-6946
- Élevée 7.3 XSS (Cross-Site Scripting) dans SysReptor XSS dans SysReptor (CVE-2025-66561). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2025.102 ou plus. CVE-2025-66561
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WatchGuard Fireware OS XSS dans WatchGuard Fireware OS (CVE-2025-13939). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13939
- Moyenne 5.4 XSS (Cross-Site Scripting) dans TranzAxis XSS dans TranzAxis (CVE-2025-66574). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66574
- Élevée 8.7 XSS (Cross-Site Scripting) dans Open WebUI XSS dans Open WebUI (CVE-2025-65959). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 0.6.37 ou plus. CVE-2025-65959
- Non évaluée Due to a regression introduced in version 3.83.0, a security header is no longer applied to certain user-uploaded… Faille signalée : XSS (CVE-2025-13488). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13488
- Faible 2.4 XSS (Cross-Site Scripting) dans JIZHICMS XSS dans JIZHICMS (CVE-2025-14013). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14013
- Faible 2.0 XSS (Cross-Site Scripting) dans dayrui XunRuiCMS XSS dans dayrui XunRuiCMS (CVE-2025-14007). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14007
- Faible 3.5 XSS (Cross-Site Scripting) dans dayrui XunRuiCMS XSS dans dayrui XunRuiCMS (CVE-2025-14006). Risque d'opérations non autorisées ou de divulgation. CVE-2025-14006
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Seafile XSS dans Seafile (CVE-2025-41080). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41080
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Seafile XSS dans Seafile (CVE-2025-41079). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41079