slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Faible 3.5 Vulnérabilité dans Bdtask/CodeCanyon SalesERP CVE-2025-13178
- Moyenne 4.8 XSS (Cross-Site Scripting) dans QuickCMS XSS dans QuickCMS (CVE-2025-10018). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10018
- Élevée 7.2 XSS (Cross-Site Scripting) dans SNORDIAN's H5PxAPIkatchu (WordPress plugin) XSS dans SNORDIAN's H5PxAPIkatchu (WordPress plugin) (CVE-2025-12904). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12904
- Moyenne 5.5 Vulnérabilité dans Monospace CVE-2025-64747
- Faible 2.7 XSS (Cross-Site Scripting) dans Astro XSS dans Astro (CVE-2025-64745). Risque d'opérations non autorisées ou de divulgation. Exploitable via trailingSlash. CVE-2025-64745
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Cisco Catalyst Center XSS dans Cisco Catalyst Center (CVE-2025-20353). Risque d'opérations non autorisées ou de divulgation. CVE-2025-20353
- Moyenne 4.3 XSS (Cross-Site Scripting) dans Zoom XSS dans Zoom (CVE-2025-62482). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62482
- Non évaluée Cross-site Scripting (XSS) vulnerability reflected in xCally's Omnichannel v3.30.1. This vulnerability allowsan… Faille signalée : XSS (CVE-2025-40681). Risque d'opérations non autorisées ou de divulgation. CVE-2025-40681
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Booking Calendar XSS dans Booking Calendar (CVE-2025-64381). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64381
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Booster for WooCommerce XSS dans Booster for WooCommerce (CVE-2025-64380). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64380
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Qi Blocks XSS dans Qi Blocks (CVE-2025-64383). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64383
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Analytics Germanized for Google Analytics XSS dans Analytics Germanized for Google Analytics (CVE-2025-64292). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64292
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Booking Manager XSS dans Booking Manager (CVE-2025-64275). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64275
- Moyenne 5.9 XSS (Cross-Site Scripting) dans Popup addon for Ninja Forms XSS dans Popup addon for Ninja Forms (CVE-2025-64264). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64264
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Save as PDF Button (WordPress plugin) XSS dans Save as PDF Button (WordPress plugin) (CVE-2025-8397). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8397
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress Content Flipper (WordPress plugin) XSS dans WordPress Content Flipper (WordPress plugin) (CVE-2025-11769). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11769
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Angel – Fashion Model Agency WordPress CMS Theme (WordPress theme) XSS dans Angel – Fashion Model Agency WordPress CMS Theme (WordPress theme) (CVE-2025-10295). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10295
- Non évaluée XSS (Cross-Site Scripting) dans WebInteropApp/WebAppInterop XSS dans WebInteropApp/WebAppInterop (CVE-2025-64710). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64710
- Faible 3.9 XSS (Cross-Site Scripting) dans PrivateBin XSS dans PrivateBin (CVE-2025-64711). Risque d'opérations non autorisées ou de divulgation. CVE-2025-64711
- Moyenne 5.4 Vulnérabilité dans IBM OpenPages CVE-2025-36223
- Faible 3.5 XSS (Cross-Site Scripting) dans soerennb eXtplorer XSS dans soerennb eXtplorer (CVE-2025-13058). Risque d'opérations non autorisées ou de divulgation. CVE-2025-13058
- Élevée 7.3 XSS (Cross-Site Scripting) dans Digital Corporate Warehouse XSS dans Digital Corporate Warehouse (CVE-2025-11962). Des informations confidentielles peuvent être exposées. CVE-2025-11962
- Élevée 7.2 XSS (Cross-Site Scripting) dans Easy Email Subscription (WordPress plugin) XSS dans Easy Email Subscription (WordPress plugin) (CVE-2025-11994). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11994
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Apache Ofbiz XSS dans Apache Ofbiz (CVE-2025-61623). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61623
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Aenrich XSS dans Aenrich (CVE-2025-12869). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12869
- Moyenne 5.4 The a+HRD and a+HCM developed by aEnrich has a Stored Cross-Site Scripting vulnerability, allowing authenticated remote… Faille signalée : XSS (CVE-2025-12872). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12872
- Moyenne 4.4 XSS (Cross-Site Scripting) dans MembershipWorks – Membership, Events & Directory (WordPress plugin) XSS dans MembershipWorks – Membership, Events & Directory (WordPress plugin) (CVE-2025-12018). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12018
- Élevée 7.1 Vulnérabilité dans Team Members Showcase (WordPress plugin) CVE-2025-11560
- Élevée 8.7 XSS (Cross-Site Scripting) dans Dynamics 365 Field Service XSS dans Dynamics 365 Field Service (CVE-2025-62211). Des informations confidentielles peuvent être exposées. CVE-2025-62211
- Élevée 8.7 XSS (Cross-Site Scripting) dans Dynamics 365 Field Service XSS dans Dynamics 365 Field Service (CVE-2025-62210). Des informations confidentielles peuvent être exposées. CVE-2025-62210