slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 4.4 XSS (Cross-Site Scripting) dans WP Delete Post Copies (WordPress plugin) XSS dans WP Delete Post Copies (WordPress plugin) (CVE-2025-12066). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12066
- Moyenne 6.4 XSS (Cross-Site Scripting) dans HT Mega – Absolute Addons For Elementor (WordPress plugin) XSS dans HT Mega – Absolute Addons For Elementor (WordPress plugin) (CVE-2025-13141). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13141
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Company Info (WordPress plugin) XSS dans WP Company Info (WordPress plugin) (CVE-2025-11826). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11826
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Shortcode for Google Street View (WordPress plugin) XSS dans Shortcode for Google Street View (WordPress plugin) (CVE-2025-11808). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11808
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WPSite Shortcode (WordPress plugin) XSS dans WPSite Shortcode (WordPress plugin) (CVE-2025-11803). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11803
- Élevée 7.1 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13159). Risque d'opérations non autorisées ou de divulgation. Exploitable via flo_form_submit. CVE-2025-13159
- Moyenne 6.4 XSS (Cross-Site Scripting) dans HotelRunner Booking Widget (WordPress plugin) XSS dans HotelRunner Booking Widget (WordPress plugin) (CVE-2025-13135). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13135
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-12661). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12661
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Padlet Shortcode (WordPress plugin) XSS dans Padlet Shortcode (WordPress plugin) (CVE-2025-12660). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12660
- Élevée 7.2 XSS (Cross-Site Scripting) dans WPBookit (WordPress plugin) XSS dans WPBookit (WordPress plugin) (CVE-2025-12135). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12135
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Bulma Shortcodes (WordPress plugin) XSS dans Bulma Shortcodes (WordPress plugin) (CVE-2025-11802). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11802
- Moyenne 6.4 XSS (Cross-Site Scripting) dans AudioTube (WordPress plugin) XSS dans AudioTube (WordPress plugin) (CVE-2025-11801). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11801
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Surbma | MiniCRM Shortcode (WordPress plugin) XSS dans Surbma | MiniCRM Shortcode (WordPress plugin) (CVE-2025-11800). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11800
- Moyenne 6.1 XSS (Cross-Site Scripting) dans EchBay Admin Security (WordPress plugin) XSS dans EchBay Admin Security (WordPress plugin) (CVE-2025-11885). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11885
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Affiliate AI Lite (WordPress plugin) XSS dans Affiliate AI Lite (WordPress plugin) (CVE-2025-11799). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11799
- Moyenne 6.4 XSS (Cross-Site Scripting) dans BrightTALK WordPress Shortcode (WordPress plugin) XSS dans BrightTALK WordPress Shortcode (WordPress plugin) (CVE-2025-11770). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11770
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Islamic Phrases (WordPress plugin) XSS dans Islamic Phrases (WordPress plugin) (CVE-2025-11768). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11768
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Tips Shortcode (WordPress plugin) XSS dans Tips Shortcode (WordPress plugin) (CVE-2025-11767). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11767
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Stock Tools (WordPress plugin) XSS dans Stock Tools (WordPress plugin) (CVE-2025-11765). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11765
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Shortcodes Bootstrap (WordPress plugin) XSS dans Shortcodes Bootstrap (WordPress plugin) (CVE-2025-11764). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11764
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Display Pages Shortcode (WordPress plugin) XSS dans Display Pages Shortcode (WordPress plugin) (CVE-2025-11763). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11763
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Tainacan (WordPress plugin) XSS dans Tainacan (WordPress plugin) (CVE-2025-12746). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12746
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Linux Windows XSS dans Linux Windows (CVE-2025-61949). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61949
- Faible 2.4 XSS (Cross-Site Scripting) dans Campcodes Complete Online Beauty Parlor Management System XSS dans Campcodes Complete Online Beauty Parlor Management System (CVE-2025-13484). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13484
- Moyenne 6.1 XSS (Cross-Site Scripting) dans IBM Concert XSS dans IBM Concert (CVE-2025-36153). Risque d'opérations non autorisées ou de divulgation. CVE-2025-36153
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Revive Adserver XSS dans Revive Adserver (CVE-2025-55123). Risque d'opérations non autorisées ou de divulgation. CVE-2025-55123
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Revive Adserver XSS dans Revive Adserver (CVE-2025-55124). Risque d'opérations non autorisées ou de divulgation. CVE-2025-55124
- Faible 3.5 XSS (Cross-Site Scripting) dans Medical Informatics Engineering Enterprise Health XSS dans Medical Informatics Engineering Enterprise Health (CVE-2025-35029). Risque d'opérations non autorisées ou de divulgation. CVE-2025-35029
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Revive Adserver XSS dans Revive Adserver (CVE-2025-48987). Risque d'opérations non autorisées ou de divulgation. CVE-2025-48987
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Revive Adserver XSS dans Revive Adserver (CVE-2025-52667). Risque d'opérations non autorisées ou de divulgation. CVE-2025-52667