slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,602
- Moyenne 6.5 XSS (Cross-Site Scripting) dans TheGem XSS dans TheGem (CVE-2025-62011). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62011
- Élevée 7.1 Vulnérabilité dans TableOn CVE-2025-60244
- Élevée 7.1 XSS (Cross-Site Scripting) dans GoStore XSS dans GoStore (CVE-2025-59556). Risque d'opérations non autorisées ou de divulgation. CVE-2025-59556
- Élevée 7.1 XSS (Cross-Site Scripting) dans Institutions Directory XSS dans Institutions Directory (CVE-2025-58638). Risque d'opérations non autorisées ou de divulgation. CVE-2025-58638
- Élevée 7.1 XSS (Cross-Site Scripting) dans Enzy XSS dans Enzy (CVE-2025-58964). Risque d'opérations non autorisées ou de divulgation. CVE-2025-58964
- Élevée 7.1 XSS (Cross-Site Scripting) dans Jobmonster XSS dans Jobmonster (CVE-2025-54737). Risque d'opérations non autorisées ou de divulgation. CVE-2025-54737
- Élevée 7.1 XSS (Cross-Site Scripting) dans WooTour XSS dans WooTour (CVE-2025-54722). Risque d'opérations non autorisées ou de divulgation. CVE-2025-54722
- Élevée 7.1 XSS (Cross-Site Scripting) dans Resca XSS dans Resca (CVE-2025-54721). Risque d'opérations non autorisées ou de divulgation. CVE-2025-54721
- Élevée 7.1 XSS (Cross-Site Scripting) dans Yogi - Health Beauty & Yoga XSS dans Yogi - Health Beauty & Yoga (CVE-2025-54718). Risque d'opérations non autorisées ou de divulgation. CVE-2025-54718
- Élevée 7.1 XSS (Cross-Site Scripting) dans WeMusic XSS dans WeMusic (CVE-2025-53585). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53585
- Élevée 7.1 XSS (Cross-Site Scripting) dans Doliconnect XSS dans Doliconnect (CVE-2025-53574). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53574
- Élevée 7.1 XSS (Cross-Site Scripting) dans Dropify XSS dans Dropify (CVE-2025-53286). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53286
- Élevée 7.1 CSRF dans WP GDPR Cookie Consent Vulnérabilité dans WP GDPR Cookie Consent (CVE-2025-53316). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53316
- Élevée 7.1 XSS (Cross-Site Scripting) dans Gutenify XSS dans Gutenify (CVE-2025-53324). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53324
- Élevée 7.1 XSS (Cross-Site Scripting) dans Kalium XSS dans Kalium (CVE-2025-53349). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53349
- Élevée 7.1 XSS (Cross-Site Scripting) dans Epic Review XSS dans Epic Review (CVE-2025-53573). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53573
- Élevée 7.1 Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in bnovotny User… Faille signalée : XSS (CVE-2025-53239). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53239
- Élevée 7.1 XSS (Cross-Site Scripting) dans WP Logo Changer XSS dans WP Logo Changer (CVE-2025-53245). Risque d'opérations non autorisées ou de divulgation. CVE-2025-53245
- Élevée 7.1 XSS (Cross-Site Scripting) dans Range Slider Addon for Gravity Forms XSS dans Range Slider Addon for Gravity Forms (CVE-2025-49905). Risque d'opérations non autorisées ou de divulgation. CVE-2025-49905
- Élevée 7.1 XSS (Cross-Site Scripting) dans Booking and Rental Manager XSS dans Booking and Rental Manager (CVE-2025-49904). Risque d'opérations non autorisées ou de divulgation. CVE-2025-49904
- Élevée 7.1 XSS (Cross-Site Scripting) dans flexoslider XSS dans flexoslider (CVE-2025-52764). Risque d'opérations non autorisées ou de divulgation. CVE-2025-52764
- Élevée 7.1 XSS (Cross-Site Scripting) dans Penci Bookmark & Follow XSS dans Penci Bookmark & Follow (CVE-2025-49909). Risque d'opérations non autorisées ou de divulgation. CVE-2025-49909
- Élevée 7.1 XSS (Cross-Site Scripting) dans Cookie Notice & Consent XSS dans Cookie Notice & Consent (CVE-2025-49390). Risque d'opérations non autorisées ou de divulgation. CVE-2025-49390
- Moyenne 6.5 Vulnérabilité dans Easy Appointments CVE-2025-49398
- Élevée 7.1 CSRF dans Block Country Vulnérabilité dans Block Country (CVE-2025-48077). Risque d'opérations non autorisées ou de divulgation. CVE-2025-48077
- Élevée 7.1 CSRF dans Slick Google Map Vulnérabilité dans Slick Google Map (CVE-2025-48078). Risque d'opérations non autorisées ou de divulgation. CVE-2025-48078
- Élevée 7.1 CSRF dans wpNamedUsers Vulnérabilité dans wpNamedUsers (CVE-2025-48083). Risque d'opérations non autorisées ou de divulgation. CVE-2025-48083
- Élevée 7.1 CSRF dans Simple Stripe Vulnérabilité dans Simple Stripe (CVE-2025-48085). Risque d'opérations non autorisées ou de divulgation. CVE-2025-48085
- Élevée 7.1 XSS (Cross-Site Scripting) dans replyMail XSS dans replyMail (CVE-2025-31029). Risque d'opérations non autorisées ou de divulgation. CVE-2025-31029
- Élevée 8.9 XSS (Cross-Site Scripting) dans OBS XSS dans OBS (CVE-2025-11956). Des informations confidentielles peuvent être exposées. CVE-2025-11956