slug: xss
解説
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
具体例
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
関連タグ
このタグに関連する脆弱性 8,584
- 中 6.1 Ahsanriaz26Gmailcom に クロスサイトスクリプティング Ahsanriaz26Gmailcom に XSS (クロスサイトスクリプティング) (CVE-2026-30567) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-30567
- 中 5.4 n8n に クロスサイトスクリプティング n8n に XSS (クロスサイトスクリプティング) (CVE-2026-56358) が存在。不正な操作・情報露出のリスクがあります。NODES_EXCLUDE 経由で攻撃可能。対策: 1.123.25 以上に更新。 CVE-2026-56358
- 未評価 クロスサイトスクリプティング XSS (クロスサイトスクリプティング) (CVE-2026-5010) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2026-5010
- 中 6.1 github.com/openbao/openbao の脆弱性 github.com/openbao/openbao に 脆弱性 (CVE-2026-33758) が存在。不正な操作・情報露出のリスクがあります。対策: 0.0.0-20260325133417-6e2b2dd84f0e 以上に更新。 CVE-2026-33758
- 中 6.1 Lyrasis に クロスサイトスクリプティング Lyrasis に XSS (クロスサイトスクリプティング) (CVE-2025-61190) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-61190
- 中 5.4 ByteDance DeerFlow に クロスサイトスクリプティング ByteDance DeerFlow に XSS (クロスサイトスクリプティング) (CVE-2026-32859) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-32859
- 中 6.8 Sentinel LDK Runtime に クロスサイトスクリプティング Sentinel LDK Runtime に XSS (クロスサイトスクリプティング) (CVE-2026-3457) が存在。データの不正な改ざんを許す可能性があります。 CVE-2026-3457
- 中 5.4 MiKa OpenStreetMap に クロスサイトスクリプティング MiKa OpenStreetMap に XSS (クロスサイトスクリプティング) (CVE-2026-33559) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-33559
- 中 6.1 Lightcms に クロスサイトスクリプティング Lightcms に XSS (クロスサイトスクリプティング) (CVE-2026-29934) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-29934
- 中 4.8 Domoticz に クロスサイトスクリプティング Domoticz に XSS (クロスサイトスクリプティング) (CVE-2026-1001) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-1001
- 高 8.7 Seafile に クロスサイトスクリプティング Seafile に XSS (クロスサイトスクリプティング) (CVE-2026-30587) が存在。機密情報が外部に流出する可能性があります。対策: 13.0.17 以上に更新。 CVE-2026-30587
- 中 6.5 Grid に クロスサイトスクリプティング Grid に XSS (クロスサイトスクリプティング) (CVE-2026-24370) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-24370
- 高 8.2 Hitachi Infrastructure Analytics Advisor に クロスサイトスクリプティング Hitachi Infrastructure Analytics Advisor に XSS (クロスサイトスクリプティング) (CVE-2026-2072) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-2072
- 高 8.2 oRPC に クロスサイトスクリプティング oRPC に XSS (クロスサイトスクリプティング) (CVE-2026-33331) が存在。機密情報が外部に流出する可能性があります。 CVE-2026-33331
- 中 6.1 actionpack に クロスサイトスクリプティング actionpack に XSS (クロスサイトスクリプティング) (CVE-2026-33167) が存在。不正な操作・情報露出のリスクがあります。対策: 8.1.2.1 以上に更新。 CVE-2026-33167
- 中 6.1 MailEnable に クロスサイトスクリプティング MailEnable に XSS (クロスサイトスクリプティング) (CVE-2026-32851) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-32851
- 中 6.1 クロスサイトスクリプティング XSS (クロスサイトスクリプティング) (CVE-2025-52204) が報告されています。不正な操作・情報露出のリスクがあります。 CVE-2025-52204
- 中 6.4 WordPress に クロスサイトスクリプティング WordPress に XSS (クロスサイトスクリプティング) (CVE-2026-0609) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-0609
- 中 5.4 SyncFusion に クロスサイトスクリプティング SyncFusion に XSS (クロスサイトスクリプティング) (CVE-2025-63260) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-63260
- 中 4.8 QuFTP Service に クロスサイトスクリプティング QuFTP Service に XSS (クロスサイトスクリプティング) (CVE-2026-22895) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-22895
- 未評価 Location Aware Sensor System by Linkit ONE に クロスサイトスクリプティング Location Aware Sensor System by Linkit ONE に XSS (クロスサイトスクリプティング) (CVE-2026-32843) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-32843
- 中 6.1 Zucchetti Axess access control devices に クロスサイトスクリプティング Zucchetti Axess access control devices に XSS (クロスサイトスクリプティング) (CVE-2026-30695) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-30695
- 悪用あり 高 7.2 Synacor Zimbra Collaboration Suite (ZCS) に クロスサイトスクリプティング Synacor Zimbra Collaboration Suite (ZCS) に XSS (クロスサイトスクリプティング) (CVE-2025-66376) が存在。不正な操作・情報露出のリスクがあります。CISA KEV登録済 — 実環境で悪用が確認されている。 CVE-2025-66376
- 中 6.1 Forcepoint に クロスサイトスクリプティング Forcepoint に XSS (クロスサイトスクリプティング) (CVE-2025-2274) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-2274
- 高 7.2 ZKTeco ZKAccess Security System に クロスサイトスクリプティング ZKTeco ZKAccess Security System に XSS (クロスサイトスクリプティング) (CVE-2016-20032) が存在。不正な操作・情報露出のリスクがあります。 CVE-2016-20032
- 中 6.1 ZKTeco ZKBioSecurity に クロスサイトスクリプティング ZKTeco ZKBioSecurity に XSS (クロスサイトスクリプティング) (CVE-2016-20027) が存在。不正な操作・情報露出のリスクがあります。 CVE-2016-20027
- 中 6.4 Vulnogram に クロスサイトスクリプティング Vulnogram に XSS (クロスサイトスクリプティング) (CVE-2026-32774) が存在。不正な操作・情報露出のリスクがあります。 CVE-2026-32774
- 高 7.6 OneUptime に クロスサイトスクリプティング OneUptime に XSS (クロスサイトスクリプティング) (CVE-2026-32308) が存在。機密情報が外部に流出する可能性があります。対策: 10.0.23 以上に更新。 CVE-2026-32308
- 中 6.1 IBM Sterling Partner Engagement Manager に クロスサイトスクリプティング IBM Sterling Partner Engagement Manager に XSS (クロスサイトスクリプティング) (CVE-2025-13702) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-13702
- 中 4.6 action_text-trix に クロスサイトスクリプティング action_text-trix に XSS (クロスサイトスクリプティング) (CVE-2026-73426) が存在。不正な操作・情報露出のリスクがあります。対策: 2.1.17 以上に更新。 CVE-2026-73426