slug: xss
解説
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
具体例
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
関連タグ
このタグに関連する脆弱性 8,584
- 中 5.4 Vvveb に クロスサイトスクリプティング Vvveb に XSS (クロスサイトスクリプティング) (CVE-2026-34429) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34429
- 低 3.5 Email Encoder (WordPress plugin) に クロスサイトスクリプティング Email Encoder (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2024-7083) が存在。不正な操作・情報露出のリスクがあります。 CVE-2024-7083
- 悪用あり 高 Kentico path-traversal に パストラバーサル CVE-2025-2749
- 悪用あり 高 Synacor zimbra-collaboration-suite-zcs に クロスサイトスクリプティング Synacor zimbra-collaboration-suite-zcs に XSS (クロスサイトスクリプティング) (CVE-2025-48700) が存在。不正な操作・情報露出のリスクがあります。CISA KEV登録済 — 実環境で悪用が確認されている。 CVE-2025-48700
- 低 3.1 Stirling-PDF の脆弱性 Stirling-PDF に 脆弱性 (CVE-2026-33436) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-33436
- 中 6.4 WordPress に クロスサイトスクリプティング WordPress に XSS (クロスサイトスクリプティング) (CVE-2025-13364) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-13364
- 中 6.4 WP Shortcodes Plugin — Shortcodes Ultimate (WordPress plugin) に クロスサイトスクリプティング CVE-2026-3885
- 中 6.5 YouTube Showcase に クロスサイトスクリプティング YouTube Showcase に XSS (クロスサイトスクリプティング) (CVE-2025-15636) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-15636
- 高 8.9 クロスサイトスクリプティング XSS (クロスサイトスクリプティング) (CVE-2025-40899) が報告されています。データの不正な改ざんを許す可能性があります。 CVE-2025-40899
- 中 5.4 GROWI に クロスサイトスクリプティング GROWI に XSS (クロスサイトスクリプティング) (CVE-2026-26291) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-26291
- 中 4.8 october/rain に クロスサイトスクリプティング october/rain に XSS (クロスサイトスクリプティング) (CVE-2026-25133) が存在。不正な操作・情報露出のリスクがあります。media.library.create 経由で攻撃可能。対策: 3.7.14 以上に更新。 CVE-2026-25133
- 中 4.6 Docmost に クロスサイトスクリプティング Docmost に XSS (クロスサイトスクリプティング) (CVE-2026-33193) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-33193
- 中 5.4 Chamilo LMS に クロスサイトスクリプティング Chamilo LMS に XSS (クロスサイトスクリプティング) (CVE-2026-34161) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34161
- 中 5.4 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-27222) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-27222
- 中 5.4 Adobe Experience Manager に クロスサイトスクリプティング Adobe Experience Manager に XSS (クロスサイトスクリプティング) (CVE-2026-34624) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34624
- 中 5.4 Adobe Experience Manager に クロスサイトスクリプティング Adobe Experience Manager に XSS (クロスサイトスクリプティング) (CVE-2026-34625) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34625
- 中 5.4 Adobe Experience Manager に クロスサイトスクリプティング Adobe Experience Manager に XSS (クロスサイトスクリプティング) (CVE-2026-34623) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34623
- 中 6.1 /studentms/admin/contact-us.php に クロスサイトスクリプティング /studentms/admin/contact-us.php に XSS (クロスサイトスクリプティング) (CVE-2025-65134) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65134
- 中 6.1 脆弱性情報 脆弱性 (CVE-2026-5754) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2026-5754
- 中 6.1 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-34614) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-34614
- 高 8.7 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-34617) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-34617
- 中 5.4 Adobe Experience Manager に クロスサイトスクリプティング Adobe Experience Manager に XSS (クロスサイトスクリプティング) (CVE-2026-27288) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-27288
- 中 5.4 DNG SDK に クロスサイトスクリプティング DNG SDK に XSS (クロスサイトスクリプティング) (CVE-2026-27258) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-27258
- 重大 9.3 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-27246) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-27246
- 重大 9.3 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-27245) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-27245
- 重大 9.3 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-27243) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-27243
- 中 6.1 Adobe macOS に クロスサイトスクリプティング Adobe macOS に XSS (クロスサイトスクリプティング) (CVE-2026-21331) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-21331
- 中 5.4 Fortinet FortiSandbox に クロスサイトスクリプティング Fortinet FortiSandbox に XSS (クロスサイトスクリプティング) (CVE-2025-61886) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-61886
- 中 6.9 Keycloak に クロスサイトスクリプティング Keycloak に XSS (クロスサイトスクリプティング) (CVE-2026-37980) が存在。機密情報が外部に流出する可能性があります。organization.alias 経由で攻撃可能。 CVE-2026-37980
- 中 5.4 Snipe-IT web-based asset management system v8.3.0 to up に クロスサイトスクリプティング CVE-2025-63743