slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 4.3 XSS (Cross-Site Scripting) dans winston-dsouza Ecommerce-Website XSS dans winston-dsouza Ecommerce-Website (CVE-2025-13793). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13793
- Faible 2.4 XSS (Cross-Site Scripting) dans yungifez Skuul School Management System XSS dans yungifez Skuul School Management System (CVE-2025-13784). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13784
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Tryton sao XSS dans Tryton sao (CVE-2025-66421). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 7.6.11 ou plus. CVE-2025-66421
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Tryton sao XSS dans Tryton sao (CVE-2025-66420). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 7.6.9 ou plus. CVE-2025-66420
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Retro XSS dans Retro (CVE-2025-66036). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66036
- Élevée 8.5 XSS (Cross-Site Scripting) dans Logpoint XSS dans Logpoint (CVE-2025-66359). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-66359
- Élevée 7.2 XSS (Cross-Site Scripting) dans Unlimited Elements For Elementor (WordPress plugin) XSS dans Unlimited Elements For Elementor (WordPress plugin) (CVE-2025-13692). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13692
- Moyenne 6.1 Vulnérabilité dans Apache CVE-2025-54057
- Moyenne 6.1 Vulnérabilité dans pretix CVE-2025-13742
- Moyenne 4.4 XSS (Cross-Site Scripting) dans StaffList (WordPress plugin) XSS dans StaffList (WordPress plugin) (CVE-2025-12185). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12185
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WP Directory Kit (WordPress plugin) XSS dans WP Directory Kit (WordPress plugin) (CVE-2025-13525). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13525
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Customer Reviews Collector for WooCommerce (WordPress plugin) XSS dans Customer Reviews Collector for WooCommerce (WordPress plugin) (CVE-2025-12123). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12123
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Simple Folio (WordPress plugin) XSS dans Simple Folio (WordPress plugin) (CVE-2025-12151). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12151
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Shouty (WordPress plugin) XSS dans Shouty (WordPress plugin) (CVE-2025-12712). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12712
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Soundslides (WordPress plugin) XSS dans Soundslides (WordPress plugin) (CVE-2025-12713). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12713
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Google Drive upload and download link (WordPress plugin) XSS dans Google Drive upload and download link (WordPress plugin) (CVE-2025-12666). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12666
- Moyenne 6.4 XSS (Cross-Site Scripting) dans wp-twitpic (WordPress plugin) XSS dans wp-twitpic (WordPress plugin) (CVE-2025-12670). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12670
- Moyenne 6.4 XSS (Cross-Site Scripting) dans SortTable Post (WordPress plugin) XSS dans SortTable Post (WordPress plugin) (CVE-2025-12649). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12649
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Classroomio LMS XSS dans Classroomio LMS (CVE-2025-65675). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65675
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Classroomio LMS XSS dans Classroomio LMS (CVE-2025-65676). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65676
- Critique 9.8 Zenitel TCIV-3+ is vulnerable to a reflected cross-site scripting vulnerability, which could allow a remote attacker to… Faille signalée : XSS (CVE-2025-64130). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-64130
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Houzez (WordPress theme) XSS dans Houzez (WordPress theme) (CVE-2025-9163). Risque d'opérations non autorisées ou de divulgation. CVE-2025-9163
- Moyenne 6.1 XSS (Cross-Site Scripting) dans REDAXO XSS dans REDAXO (CVE-2025-66026). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66026
- Moyenne 6.1 XSS (Cross-Site Scripting) dans OWASP Java HTML Sanitizer XSS dans OWASP Java HTML Sanitizer (CVE-2025-66021). Risque d'opérations non autorisées ou de divulgation. CVE-2025-66021
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Formwork XSS dans Formwork (CVE-2025-65956). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65956
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Geoserver XSS dans Geoserver (CVE-2025-21621). Risque d'opérations non autorisées ou de divulgation. CVE-2025-21621
- Élevée 7.9 A Stored Cross-Site Scripting vulnerability was discovered in the Dashboards functionality due to improper validation… Faille signalée : XSS (CVE-2025-40890). Les données peuvent être altérées par des attaquants. CVE-2025-40890
- Élevée 8.1 HCL iNotes is susceptible to a Reflected Cross-site Scripting (XSS) vulnerability caused by improper validation of… Faille signalée : vulnérabilité (CVE-2025-0248). Des informations confidentielles peuvent être exposées. CVE-2025-0248
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Job Board by BestWebSoft (WordPress plugin) XSS dans Job Board by BestWebSoft (WordPress plugin) (CVE-2025-13383). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13383
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Inline frame – Iframe (WordPress plugin) XSS dans Inline frame – Iframe (WordPress plugin) (CVE-2025-12645). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12645