slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Clik stats (WordPress plugin) XSS dans Clik stats (WordPress plugin) (CVE-2025-13513). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13513
- Élevée 7.2 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-11727). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11727
- Moyenne 6.4 Vulnérabilité dans Nextcloud CVE-2025-59788
- Élevée 7.6 XSS (Cross-Site Scripting) dans Rommapp XSS dans Rommapp (CVE-2025-65027). Les données peuvent être altérées par des attaquants. Atténuation : mise à jour vers 4.4.1 ou plus. CVE-2025-65027
- Moyenne 5.5 XSS (Cross-Site Scripting) dans HCL Technologies Limited HCLTech DRAGON XSS dans HCL Technologies Limited HCLTech DRAGON (CVE-2025-63401). Les données peuvent être altérées par des attaquants. CVE-2025-63401
- Critique 9.6 Injection de code dans Mermaid diagram renderer CVE-2025-66222
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Avtech XSS dans Avtech (CVE-2025-57202). Risque d'opérations non autorisées ou de divulgation. CVE-2025-57202
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Autoptimize (WordPress plugin) XSS dans Autoptimize (WordPress plugin) (CVE-2025-13401). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13401
- Moyenne 6.4 XSS (Cross-Site Scripting) dans CSSIgniter Shortcodes (WordPress plugin) XSS dans CSSIgniter Shortcodes (WordPress plugin) (CVE-2025-13448). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13448
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-66459). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.35.3 ou plus. CVE-2025-66459
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-66458). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.35.3 ou plus. CVE-2025-66458
- Élevée 7.6 XSS (Cross-Site Scripting) dans Aimeos XSS dans Aimeos (CVE-2025-66468). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 2021.10.8 ou plus. CVE-2025-66468
- Moyenne 5.4 Vulnérabilité dans BigFix SaaS CVE-2025-52622
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Datactive XSS dans Datactive (CVE-2025-13505). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13505
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Nexter Extension – Site Enhancements Toolkit (WordPress plugin) XSS dans Nexter Extension – Site Enhancements Toolkit (WordPress plugin) (CVE-2025-13731). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13731
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Idieikon XSS dans Idieikon (CVE-2025-40700). Risque d'opérations non autorisées ou de divulgation. CVE-2025-40700
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Objectplanet XSS dans Objectplanet (CVE-2025-13873). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13873
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13007). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13007
- Élevée 7.2 XSS (Cross-Site Scripting) dans Kadence WooCommerce Email Designer (WordPress plugin) XSS dans Kadence WooCommerce Email Designer (WordPress plugin) (CVE-2025-13387). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13387
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13697). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13697
- Moyenne 5.4 XSS (Cross-Site Scripting) dans @angular/compiler XSS dans @angular/compiler (CVE-2025-66412). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 21.0.2 ou plus. CVE-2025-66412
- Moyenne 4.6 XSS (Cross-Site Scripting) dans FileRise XSS dans FileRise (CVE-2025-66403). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.2.3 ou plus. CVE-2025-66403
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Getgrav XSS dans Getgrav (CVE-2025-66311). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.11.0-beta.1 ou plus. CVE-2025-66311
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Getgrav XSS dans Getgrav (CVE-2025-66312). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.11.0-beta.1 ou plus. CVE-2025-66312
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Snipe-IT XSS dans Snipe-IT (CVE-2025-65622). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65622
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Snipe-IT XSS dans Snipe-IT (CVE-2025-65621). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65621
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Arconix Shortcodes XSS dans Arconix Shortcodes (CVE-2025-13835). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13835
- Non évaluée XSS (Cross-Site Scripting) dans Sanoma's Clickedu XSS dans Sanoma's Clickedu (CVE-2025-41070). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41070
- Moyenne 4.3 XSS (Cross-Site Scripting) dans jairiidriss RestaurantWebsite XSS dans jairiidriss RestaurantWebsite (CVE-2025-13802). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13802
- Faible 2.4 XSS (Cross-Site Scripting) dans codingWithElias School Management System XSS dans codingWithElias School Management System (CVE-2025-13795). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13795