slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Revive Adserver XSS dans Revive Adserver (CVE-2025-52668). Risque d'opérations non autorisées ou de divulgation. CVE-2025-52668
- Moyenne 4.8 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2025-62731). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62731
- Moyenne 5.4 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2025-62295). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62295
- Moyenne 5.4 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2025-62297). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62297
- Moyenne 5.4 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2025-62729). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62729
- Moyenne 5.4 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2025-62296). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62296
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Kaspersky Endpoint Security for Linux XSS dans Kaspersky Endpoint Security for Linux (CVE-2025-64984). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64984
- Faible 3.5 XSS (Cross-Site Scripting) dans SourceCodester Online Shop Project XSS dans SourceCodester Online Shop Project (CVE-2025-13450). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13450
- Élevée 7.2 XSS (Cross-Site Scripting) dans Pyxis Signage XSS dans Pyxis Signage (CVE-2025-0643). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-0643
- Faible 2.4 XSS (Cross-Site Scripting) dans Public Knowledge Project omp and ojs XSS dans Public Knowledge Project omp and ojs (CVE-2025-13469). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13469
- Non évaluée XSS (Cross-Site Scripting) dans uCMDB XSS dans uCMDB (CVE-2025-11884). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11884
- Faible 3.5 XSS (Cross-Site Scripting) dans icret EasyImages XSS dans icret EasyImages (CVE-2025-13415). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13415
- Faible 2.4 XSS (Cross-Site Scripting) dans Campcodes Retro Basketball Shoes Online Store XSS dans Campcodes Retro Basketball Shoes Online Store (CVE-2025-13412). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13412
- Élevée 8.1 Vulnérabilité dans Homarr CVE-2025-64759
- Non évaluée XSS (Cross-Site Scripting) dans Lookyloo XSS dans Lookyloo (CVE-2025-65095). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65095
- Moyenne 6.1 Injection de code dans esm.sh CVE-2025-65026
- Élevée 7.1 Vulnérabilité dans Astro CVE-2025-64764
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Astro XSS dans Astro (CVE-2025-65019). Risque d'opérations non autorisées ou de divulgation. CVE-2025-65019
- Moyenne 5.4 XSS (Cross-Site Scripting) dans StarCities XSS dans StarCities (CVE-2025-11963). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11963
- Moyenne 4.7 Vulnérabilité dans Fortinet FortiADC CVE-2025-58412
- Élevée 7.2 XSS (Cross-Site Scripting) dans GiveWP – Donation Plugin and Fundraising Platform (WordPress plugin) XSS dans GiveWP – Donation Plugin and Fundraising Platform (WordPress plugin) (CVE-2025-13206). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13206
- Élevée 7.2 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-12484). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12484
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-13054). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13054
- Moyenne 6.4 XSS (Cross-Site Scripting) dans FunnelKit – Funnel Builder for WooCommerce Checkout (WordPress plugin) XSS dans FunnelKit – Funnel Builder for WooCommerce Checkout (WordPress plugin) (CVE-2025-12878). Risque d'opérations non autorisées ou de divulgation. Exploitable via wfop_phone. CVE-2025-12878
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Pet-Manager – Petfinder (WordPress plugin) XSS dans Pet-Manager – Petfinder (WordPress plugin) (CVE-2025-12710). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12710
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Royal Elementor Addons and Templates (WordPress plugin) XSS dans Royal Elementor Addons and Templates (WordPress plugin) (CVE-2025-6251). Risque d'opérations non autorisées ou de divulgation. CVE-2025-6251
- Moyenne 6.2 XSS (Cross-Site Scripting) dans LibreNMS XSS dans LibreNMS (CVE-2025-65013). Des informations confidentielles peuvent être exposées. CVE-2025-65013
- Moyenne 6.8 XSS (Cross-Site Scripting) dans SourceCodester Student Grades Management System XSS dans SourceCodester Student Grades Management System (CVE-2025-63892). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-63892
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Windu CMS XSS dans Windu CMS (CVE-2025-59117). Risque d'opérations non autorisées ou de divulgation. CVE-2025-59117
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Windu CMS XSS dans Windu CMS (CVE-2025-59115). Risque d'opérations non autorisées ou de divulgation. CVE-2025-59115