slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,597
- Moyenne 4.9 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-12020). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12020
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Simple Donate (WordPress plugin) XSS dans Simple Donate (WordPress plugin) (CVE-2025-11882). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11882
- Moyenne 5.4 Vulnérabilité dans Slippy Slider – Responsive Touch Navigation Slider (WordPress plugin) CVE-2025-11874
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Paypal Donation Shortcode (WordPress plugin) XSS dans Paypal Donation Shortcode (WordPress plugin) (CVE-2025-11859). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11859
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Twitter Feed (WordPress plugin) XSS dans Twitter Feed (WordPress plugin) (CVE-2025-11860). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11860
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Precise Columns (WordPress plugin) XSS dans Precise Columns (WordPress plugin) (CVE-2025-11869). Risque d'opérations non autorisées ou de divulgation. Exploitable via wrap_id. CVE-2025-11869
- Moyenne 6.4 XSS (Cross-Site Scripting) dans My Geo Posts Free (WordPress plugin) XSS dans My Geo Posts Free (WordPress plugin) (CVE-2025-11863). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11863
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP BBCode (WordPress plugin) XSS dans WP BBCode (WordPress plugin) (CVE-2025-11873). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11873
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Five9 Live Chat (WordPress plugin) XSS dans Five9 Live Chat (WordPress plugin) (CVE-2025-11829). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11829
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Skip to Timestamp (WordPress plugin) XSS dans Skip to Timestamp (WordPress plugin) (CVE-2025-11805). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11805
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Magazine Companion (WordPress plugin) XSS dans Magazine Companion (WordPress plugin) (CVE-2025-11828). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11828
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Woocommerce – Products By Custom Tax (WordPress plugin) XSS dans Woocommerce – Products By Custom Tax (WordPress plugin) (CVE-2025-11821). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11821
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WP Bootstrap Tabs (WordPress plugin) XSS dans WP Bootstrap Tabs (WordPress plugin) (CVE-2025-11822). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11822
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Eventbee Ticketing Widget (WordPress plugin) XSS dans Eventbee Ticketing Widget (WordPress plugin) (CVE-2025-11856). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11856
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Include Fussball.de Widgets (WordPress plugin) XSS dans Include Fussball.de Widgets (WordPress plugin) (CVE-2025-11129). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11129
- Moyenne 6.1 XSS (Cross-Site Scripting) dans SAP Business Connector XSS dans SAP Business Connector (CVE-2025-42886). Risque d'opérations non autorisées ou de divulgation. CVE-2025-42886
- Critique 9.6 XSS (Cross-Site Scripting) dans Github XSS dans Github (CVE-2025-11892). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-11892
- Élevée 7.6 XSS (Cross-Site Scripting) dans ProsemirrorToHtml XSS dans ProsemirrorToHtml (CVE-2025-64501). Des informations confidentielles peuvent être exposées. Exploitable via prosemirror_to_html. CVE-2025-64501
- Élevée 8.8 XSS (Cross-Site Scripting) dans Combodo XSS dans Combodo (CVE-2025-48065). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-48065
- Élevée 8.5 XSS (Cross-Site Scripting) dans Combodo XSS dans Combodo (CVE-2025-48055). Des informations confidentielles peuvent être exposées. CVE-2025-48055
- Élevée 8.8 XSS (Cross-Site Scripting) dans Combodo XSS dans Combodo (CVE-2025-47932). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-47932
- Élevée 8.8 XSS (Cross-Site Scripting) dans Combodo XSS dans Combodo (CVE-2025-47773). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-47773
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Soplanning XSS dans Soplanning (CVE-2025-41001). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41001
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Smart School XSS dans Smart School (CVE-2025-41107). Risque d'opérations non autorisées ou de divulgation. CVE-2025-41107
- Faible 2.4 XSS (Cross-Site Scripting) dans qianfox FoxCMS XSS dans qianfox FoxCMS (CVE-2025-12920). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12920
- Moyenne 6.4 XSS (Cross-Site Scripting) dans aThemes Addons for Elementor (WordPress plugin) XSS dans aThemes Addons for Elementor (WordPress plugin) (CVE-2025-12837). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12837
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Saphali LiqPay for donate (WordPress plugin) XSS dans Saphali LiqPay for donate (WordPress plugin) (CVE-2025-12643). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12643
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Mang Board WP (WordPress plugin) XSS dans Mang Board WP (WordPress plugin) (CVE-2025-12193). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12193
- Moyenne 6.1 XSS (Cross-Site Scripting) dans WP2Social Auto Publish (WordPress plugin) XSS dans WP2Social Auto Publish (WordPress plugin) (CVE-2025-12064). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12064
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Insert Headers and Footers Code – HT Script (WordPress plugin) XSS dans Insert Headers and Footers Code – HT Script (WordPress plugin) (CVE-2025-12112). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12112