slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Moyenne 6.4 XSS (Cross-Site Scripting) dans WordPress Plugin WP Symposium Pro XSS dans WordPress Plugin WP Symposium Pro (CVE-2021-47927). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47927
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Rocket LMS XSS dans Rocket LMS (CVE-2021-47907). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47907
- Moyenne 6.4 XSS (Cross-Site Scripting) dans AccessPress Social Icons XSS dans AccessPress Social Icons (CVE-2021-47910). Risque d'opérations non autorisées ou de divulgation. CVE-2021-47910
- Moyenne 6.1 XSS (Cross-Site Scripting) dans libphp XSS dans libphp (CVE-2026-6735). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 8.2.31, 8.3.31, 8.4.21, 8.5.6 ou plus. CVE-2026-6735
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8219). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8219
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8218). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8218
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8221). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8221
- Faible 2.4 XSS (Cross-Site Scripting) dans Devs Palace ERP Online XSS dans Devs Palace ERP Online (CVE-2026-8220). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8220
- Moyenne 4.3 XSS (Cross-Site Scripting) dans JeecgBoot XSS dans JeecgBoot (CVE-2026-8195). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8195
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Cisco Catalyst Sd Wan Manager XSS dans Cisco Catalyst Sd Wan Manager (CVE-2026-20108). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20108
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Cisco Identity Services Engine XSS dans Cisco Identity Services Engine (CVE-2025-20204). Risque d'opérations non autorisées ou de divulgation. CVE-2025-20204
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Cisco Integrated Management Controller XSS dans Cisco Integrated Management Controller (CVE-2026-20085). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20085
- Moyenne 4.8 XSS (Cross-Site Scripting) dans Cisco Identity Services Engine XSS dans Cisco Identity Services Engine (CVE-2026-20132). Risque d'opérations non autorisées ou de divulgation. CVE-2026-20132
- Moyenne 6.1 Vulnérabilité dans Cisco Webex Contact Center CVE-2026-20170
- Moyenne 6.1 XSS (Cross-Site Scripting) dans mistune XSS dans mistune (CVE-2026-44896). Risque d'opérations non autorisées ou de divulgation. Exploitable via figclass. Atténuation : mise à jour vers 3.2.1 ou plus. CVE-2026-44896
- Moyenne 6.3 XSS (Cross-Site Scripting) dans Grimmory XSS dans Grimmory (CVE-2026-42451). Des informations confidentielles peuvent être exposées. CVE-2026-42451
- Élevée 7.3 XSS (Cross-Site Scripting) dans open-webui XSS dans open-webui (CVE-2026-44549). Des informations confidentielles peuvent être exposées. Exploitable via XLSX.utils.sheet_to_html. Atténuation : mise à jour vers 0.8.0 ou plus. CVE-2026-44549
- Moyenne 4.8 XSS (Cross-Site Scripting) dans snipe/snipe-it XSS dans snipe/snipe-it (CVE-2026-44831). Risque d'opérations non autorisées ou de divulgation. Exploitable via notes. Atténuation : mise à jour vers 8.4.1 ou plus. CVE-2026-44831
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Plunk XSS dans Plunk (CVE-2026-42192). Risque d'opérations non autorisées ou de divulgation. CVE-2026-42192
- Non évaluée XSS (Cross-Site Scripting) dans getgrav/grav XSS dans getgrav/grav (CVE-2026-44737). Risque d'opérations non autorisées ou de divulgation. Exploitable via GET /admin/pages/. Atténuation : mise à jour vers 1.7.49.5 ou plus. CVE-2026-44737
- Élevée 7.3 XSS (Cross-Site Scripting) dans open-webui XSS dans open-webui (CVE-2026-44721). Des informations confidentielles peuvent être exposées. Exploitable via marked. Atténuation : mise à jour vers 0.9.0 ou plus. CVE-2026-44721
- Moyenne 5.4 Vulnérabilité dans github.com/modelcontextprotocol/registry CVE-2026-44429
- Moyenne 6.1 Vulnérabilité dans MapServer WMS CVE-2026-42030
- Critique 9.8 Traversée de chemin dans path-traversal CVE-2026-38360
- Critique 9.3 XSS (Cross-Site Scripting) dans prestashop/prestashop XSS dans prestashop/prestashop (CVE-2026-44212). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 9.1.1 ou plus. CVE-2026-44212
- Moyenne 6.1 XSS (Cross-Site Scripting) dans absinthe_plug XSS dans absinthe_plug (CVE-2026-42794). Risque d'opérations non autorisées ou de divulgation. CVE-2026-42794
- Moyenne 6.4 XSS (Cross-Site Scripting) dans marko XSS dans marko (CVE-2026-41591). Risque d'opérations non autorisées ou de divulgation. Exploitable via _escape_script. Atténuation : mise à jour vers 5.38.36 ou plus. CVE-2026-41591
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Th30D4Y XSS dans Th30D4Y (CVE-2026-41575). Risque d'opérations non autorisées ou de divulgation. CVE-2026-41575
- Moyenne 6.4 XSS (Cross-Site Scripting) dans Sky Addons (WordPress plugin) XSS dans Sky Addons (WordPress plugin) (CVE-2026-7475). Risque d'opérations non autorisées ou de divulgation. Exploitable via sky_script_content. CVE-2026-7475
- Moyenne 6.4 XSS (Cross-Site Scripting) dans E2Pdf – Export Pdf Tool for (WordPress plugin) XSS dans E2Pdf – Export Pdf Tool for (WordPress plugin) (CVE-2026-7650). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7650