slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,604
- Moyenne 6.5 XSS (Cross-Site Scripting) dans WP Geo XSS dans WP Geo (CVE-2025-62904). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62904
- Moyenne 6.5 XSS (Cross-Site Scripting) dans WPC Smart Messages for WooCommerce XSS dans WPC Smart Messages for WooCommerce (CVE-2025-62903). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62903
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Popular Posts by Webline XSS dans Popular Posts by Webline (CVE-2025-62900). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62900
- Moyenne 6.5 XSS (Cross-Site Scripting) dans ACF Recent Posts Widget XSS dans ACF Recent Posts Widget (CVE-2025-62894). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62894
- Élevée 7.1 CSRF dans Multilang Contact Form Vulnérabilité dans Multilang Contact Form (CVE-2025-62896). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62896
- Moyenne 6.5 XSS (Cross-Site Scripting) dans Links shortcode XSS dans Links shortcode (CVE-2025-62898). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62898
- Moyenne 5.3 Vulnérabilité dans WP Recipe Maker CVE-2025-62897
- Moyenne 6.5 XSS (Cross-Site Scripting) dans King Addons for Elementor XSS dans King Addons for Elementor (CVE-2025-62887). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62887
- Élevée 7.1 CSRF dans Pricing Table builder Vulnérabilité dans Pricing Table builder (CVE-2025-62886). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62886
- Moyenne 6.5 XSS (Cross-Site Scripting) dans WP VR XSS dans WP VR (CVE-2025-62885). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62885
- Moyenne 6.1 XSS (Cross-Site Scripting) dans VirtueMart 1.0.0-4.4.10 for Joomla was discovered XSS dans VirtueMart 1.0.0-4.4.10 for Joomla was discovered (CVE-2025-55757). Risque d'opérations non autorisées ou de divulgation. CVE-2025-55757
- Moyenne 6.4 XSS (Cross-Site Scripting) dans The7 — Website and eCommerce Builder for (WordPress theme) XSS dans The7 — Website and eCommerce Builder for (WordPress theme) (CVE-2025-11897). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11897
- Moyenne 6.4 XSS (Cross-Site Scripting) dans SpendeOnline.org (WordPress plugin) XSS dans SpendeOnline.org (WordPress plugin) (CVE-2025-11875). Risque d'opérations non autorisées ou de divulgation. CVE-2025-11875
- Moyenne 4.4 XSS (Cross-Site Scripting) dans Fast Velocity Minify (WordPress plugin) XSS dans Fast Velocity Minify (WordPress plugin) (CVE-2025-12034). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12034
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-10580). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10580
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Testimonial Carousel For Elementor (WordPress plugin) XSS dans Testimonial Carousel For Elementor (WordPress plugin) (CVE-2025-8666). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8666
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Listeo (WordPress theme) XSS dans Listeo (WordPress theme) (CVE-2025-8413). Risque d'opérations non autorisées ou de divulgation. Exploitable via soundcloud. CVE-2025-8413
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Gutenberg Blocks – PublishPress Blocks (WordPress plugin) XSS dans Gutenberg Blocks – PublishPress Blocks (WordPress plugin) (CVE-2025-8588). Risque d'opérations non autorisées ou de divulgation. CVE-2025-8588
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Open Source Genesis Framework (WordPress theme) XSS dans Open Source Genesis Framework (WordPress theme) (CVE-2025-10737). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10737
- Élevée 7.2 XSS (Cross-Site Scripting) dans Watu Quiz (WordPress plugin) XSS dans Watu Quiz (WordPress plugin) (CVE-2025-11238). Risque d'opérations non autorisées ou de divulgation. Exploitable via Referer header. CVE-2025-11238
- Moyenne 6.4 Vulnérabilité dans WordPress Hasthemes CVE-2025-11823
- Élevée 8.1 XSS (Cross-Site Scripting) dans Plane XSS dans Plane (CVE-2025-62716). Des informations confidentielles peuvent être exposées. CVE-2025-62716
- Moyenne 6.1 XSS (Cross-Site Scripting) dans VNPAY Payment gateway (WordPress plugin) XSS dans VNPAY Payment gateway (WordPress plugin) (CVE-2025-12017). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12017
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Simple Excel Pricelist for WooCommerce (WordPress plugin) XSS dans Simple Excel Pricelist for WooCommerce (WordPress plugin) (CVE-2025-12096). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12096
- Moyenne 4.4 XSS (Cross-Site Scripting) dans qnotsquiz (WordPress plugin) XSS dans qnotsquiz (WordPress plugin) (CVE-2025-12016). Risque d'opérations non autorisées ou de divulgation. CVE-2025-12016
- Élevée 7.5 Vulnérabilité dans Quickcreator – AI Blog Writer (WordPress plugin) CVE-2025-11504
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress XSS dans WordPress (CVE-2025-10701). Risque d'opérations non autorisées ou de divulgation. CVE-2025-10701
- Moyenne 6.8 XSS (Cross-Site Scripting) dans Jeg Kit for Elementor (WordPress plugin) XSS dans Jeg Kit for Elementor (WordPress plugin) (CVE-2025-9978). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-9978
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Pleasanter XSS dans Pleasanter (CVE-2025-58070). Risque d'opérations non autorisées ou de divulgation. CVE-2025-58070
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Pleasanter XSS dans Pleasanter (CVE-2025-61931). Risque d'opérations non autorisées ou de divulgation. CVE-2025-61931