slug: xss
Explication
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
Exemple
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
Étiquettes liées
Denial of Service8914
SQL Injection4105
Remote Code Execution3036
Path Traversal2142
Privilege Escalation1586
Cross-Site Request Forgery1115
Server-Side Request Forgery887
Authentication Bypass882
Insecure Deserialization784
Buffer Overflow77
Command Injection28
Use After Free20
Credential Leak14
Prototype Pollution7
Integer Overflow7
Vulnérabilités associées 8,584
- Moyenne 6.4 XSS (Cross-Site Scripting) dans NMR Strava activities (WordPress plugin) XSS dans NMR Strava activities (WordPress plugin) (CVE-2026-5341). Risque d'opérations non autorisées ou de divulgation. Exploitable via strava_nmr_connect. CVE-2026-5341
- Élevée 7.2 XSS (Cross-Site Scripting) dans Auto Affiliate Links (WordPress plugin) XSS dans Auto Affiliate Links (WordPress plugin) (CVE-2026-7330). Risque d'opérations non autorisées ou de divulgation. CVE-2026-7330
- Moyenne 5.4 XSS (Cross-Site Scripting) dans SOPlanning XSS dans SOPlanning (CVE-2024-33724). Risque d'opérations non autorisées ou de divulgation. CVE-2024-33724
- Moyenne 6.1 XSS (Cross-Site Scripting) dans org.opencms:opencms-core XSS dans org.opencms:opencms-core (CVE-2023-42343). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 16.0 ou plus. CVE-2023-42343
- Moyenne 6.1 XSS (Cross-Site Scripting) dans org.opencms:opencms-core XSS dans org.opencms:opencms-core (CVE-2023-42345). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 16.0 ou plus. CVE-2023-42345
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Thruk Monitoring XSS dans Thruk Monitoring (CVE-2022-23961). Risque d'opérations non autorisées ou de divulgation. CVE-2022-23961
- Faible 2.4 XSS (Cross-Site Scripting) dans SourceCodester Pharmacy Sales and Inventory System XSS dans SourceCodester Pharmacy Sales and Inventory System (CVE-2026-8136). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8136
- Moyenne 5.1 XSS (Cross-Site Scripting) dans wlc XSS dans wlc (CVE-2026-42150). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.0.0 ou plus. CVE-2026-42150
- Moyenne 4.3 XSS (Cross-Site Scripting) dans SourceCodester Pizzafy Ecommerce System XSS dans SourceCodester Pizzafy Ecommerce System (CVE-2026-8117). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8117
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Vvveb XSS dans Vvveb (CVE-2026-41929). Risque d'opérations non autorisées ou de divulgation. CVE-2026-41929
- Élevée 8.8 XSS (Cross-Site Scripting) dans Azure Machine Learning XSS dans Azure Machine Learning (CVE-2026-32207). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-32207
- Moyenne 6.1 XSS (Cross-Site Scripting) dans golang XSS dans golang (CVE-2026-39823). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 1.25.10, 1.26.3 ou plus. CVE-2026-39823
- Moyenne 5.4 A Cross-Site Scripting (XSS) vulnerability was found in PHPGurukal Hospital Management System v4.0 in the… Faille signalée : XSS (CVE-2026-36388). Risque d'opérations non autorisées ou de divulgation. CVE-2026-36388
- Moyenne 6.1 XSS (Cross-Site Scripting) dans sidekiq-cron XSS dans sidekiq-cron (CVE-2025-67202). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 2.4.0 ou plus. CVE-2025-67202
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Misp XSS dans Misp (CVE-2026-8080). Risque d'opérations non autorisées ou de divulgation. CVE-2026-8080
- Non évaluée Security update for webkit2gtk3 Faille signalée : vulnérabilité (SUSE-SU-2026:1749-1). Risque d'opérations non autorisées ou de divulgation. SUSE-SU-2026:1749-1
- Moyenne 5.9 XSS (Cross-Site Scripting) dans WEN Logo Slider XSS dans WEN Logo Slider (CVE-2025-62127). Risque d'opérations non autorisées ou de divulgation. CVE-2025-62127
- Faible 3.7 Vulnérabilité dans HCL BigFix Service Management CVE-2025-31983
- Moyenne 5.4 XSS (Cross-Site Scripting) dans Juzaweb CMS XSS dans Juzaweb CMS (CVE-2026-36358). Risque d'opérations non autorisées ou de divulgation. CVE-2026-36358
- Faible 3.1 Vulnérabilité dans HCL DFXAnalytics CVE-2025-59854
- Moyenne 5.3 Vulnérabilité dans HCL DFXAnalytics CVE-2025-31970
- Moyenne 5.4 XSS (Cross-Site Scripting) dans phpoffice/phpspreadsheet XSS dans phpoffice/phpspreadsheet (CVE-2026-35453). Risque d'opérations non autorisées ou de divulgation. Exploitable via formatColor. Atténuation : mise à jour vers 1.30.4 ou plus. CVE-2026-35453
- Moyenne 6.1 XSS (Cross-Site Scripting) dans FluentCMS XSS dans FluentCMS (CVE-2026-38947). Risque d'opérations non autorisées ou de divulgation. CVE-2026-38947
- Moyenne 6.1 XSS (Cross-Site Scripting) dans ERPNext XSS dans ERPNext (CVE-2026-38432). Risque d'opérations non autorisées ou de divulgation. CVE-2026-38432
- Moyenne 4.7 XSS (Cross-Site Scripting) dans ISPConfig XSS dans ISPConfig (CVE-2025-52206). Risque d'opérations non autorisées ou de divulgation. CVE-2025-52206
- Moyenne 6.1 XSS (Cross-Site Scripting) dans Dify XSS dans Dify (CVE-2026-42138). Risque d'opérations non autorisées ou de divulgation. Exploitable via POST /api/files/upload. CVE-2026-42138
- Moyenne 4.6 XSS (Cross-Site Scripting) dans openc3 XSS dans openc3 (CVE-2026-42086). Risque d'opérations non autorisées ou de divulgation. Exploitable via convertToValue. Atténuation : mise à jour vers 7.0.0 ou plus. CVE-2026-42086
- Critique 9.6 XSS (Cross-Site Scripting) dans Notesnook XSS dans Notesnook (CVE-2026-42090). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2026-42090
- Critique 9.8 XSS (Cross-Site Scripting) dans Online Support Application XSS dans Online Support Application (CVE-2025-14320). L'exploitation peut entraîner la prise de contrôle totale du système. CVE-2025-14320
- Moyenne 6.9 XSS (Cross-Site Scripting) dans V2Board XSS dans V2Board (CVE-2026-37503). Des informations confidentielles peuvent être exposées. CVE-2026-37503