slug: xss
解説
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
具体例
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
関連タグ
このタグに関連する脆弱性 8,588
- 中 6.3 Foxit に クロスサイトスクリプティング Foxit に XSS (クロスサイトスクリプティング) (CVE-2025-66502) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-66502
- 高 8.2 Office Out-of-Box Experience に クロスサイトスクリプティング Office Out-of-Box Experience に XSS (クロスサイトスクリプティング) (CVE-2025-64677) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-64677
- 中 5.4 Craigtaub に クロスサイトスクリプティング Craigtaub に XSS (クロスサイトスクリプティング) (CVE-2025-63947) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-63947
- 中 6.1 Yohanawi に クロスサイトスクリプティング Yohanawi に XSS (クロスサイトスクリプティング) (CVE-2025-63949) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-63949
- 中 6.1 Zohocorp ManageEngine Applications Manager に クロスサイトスクリプティング CVE-2025-9787
- 中 4.7 Nozominetworks に クロスサイトスクリプティング Nozominetworks に XSS (クロスサイトスクリプティング) (CVE-2025-40891) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-40891
- 高 8.1 Return Policy" configuration field に クロスサイトスクリプティング Return Policy" configuration field に XSS (クロスサイトスクリプティング) (CVE-2025-68147) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-68147
- 中 5.4 ChurchCRM に クロスサイトスクリプティング ChurchCRM に XSS (クロスサイトスクリプティング) (CVE-2025-67875) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-67875
- 重大 9.6 DriveLock Operations Center に クロスサイトスクリプティング DriveLock Operations Center に XSS (クロスサイトスクリプティング) (CVE-2025-67787) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-67787
- 中 6.1 SLiMS に クロスサイトスクリプティング SLiMS に XSS (クロスサイトスクリプティング) (CVE-2025-65233) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65233
- 中 6.1 Sale に クロスサイトスクリプティング Sale に XSS (クロスサイトスクリプティング) (CVE-2025-66924) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-66924
- 高 7.2 Sale の脆弱性 Sale に 脆弱性 (CVE-2025-66923) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-66923
- 高 7.2 Sale の脆弱性 Sale に 脆弱性 (CVE-2025-66921) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-66921
- 中 6.3 OBS (Student Affairs Information System)0 に クロスサイトスクリプティング OBS (Student Affairs Information System)0 に XSS (クロスサイトスクリプティング) (CVE-2025-14347) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-14347
- 高 7.1 Crafty Controller に クロスサイトスクリプティング Crafty Controller に XSS (クロスサイトスクリプティング) (CVE-2025-14701) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-14701
- 中 6.1 nopCommerce に クロスサイトスクリプティング nopCommerce に XSS (クロスサイトスクリプティング) (CVE-2025-65592) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65592
- 中 5.4 nopCommerce に クロスサイトスクリプティング nopCommerce に XSS (クロスサイトスクリプティング) (CVE-2025-65591) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65591
- 中 5.4 nopCommerce に クロスサイトスクリプティング nopCommerce に XSS (クロスサイトスクリプティング) (CVE-2025-65590) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65590
- 中 6.1 nopCommerce に クロスサイトスクリプティング nopCommerce に XSS (クロスサイトスクリプティング) (CVE-2025-65589) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-65589
- 中 6.5 Glpi に クロスサイトスクリプティング Glpi に XSS (クロスサイトスクリプティング) (CVE-2025-59935) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-59935
- 中 6.5 VK Google Job Posting Manager に クロスサイトスクリプティング VK Google Job Posting Manager に XSS (クロスサイトスクリプティング) (CVE-2025-68070) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-68070
- 中 6.1 Parse Server's password reset に クロスサイトスクリプティング Parse Server's password reset に XSS (クロスサイトスクリプティング) (CVE-2025-68115) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-68115
- 中 6.5 ChurchCRM の脆弱性 ChurchCRM に 脆弱性 (CVE-2025-67874) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-67874
- 重大 9.6 DeepChat に コードインジェクション CVE-2025-67744
- 低 2.4 vion707 DMadmin に クロスサイトスクリプティング vion707 DMadmin に XSS (クロスサイトスクリプティング) (CVE-2025-14722) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-14722
- 中 5.4 grav に クロスサイトスクリプティング grav に XSS (クロスサイトスクリプティング) (CVE-2025-66843) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-66843
- 中 6.4 LearnPress – WordPress LMS Plugin (WordPress plugin) に クロスサイトスクリプティング CVE-2025-14387
- 中 6.4 WordPress に クロスサイトスクリプティング WordPress に XSS (クロスサイトスクリプティング) (CVE-2025-13367) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-13367
- 中 6.4 CC Child Pages (WordPress plugin) に クロスサイトスクリプティング CC Child Pages (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-13608) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-13608
- 中 6.4 WordPress に クロスサイトスクリプティング WordPress に XSS (クロスサイトスクリプティング) (CVE-2025-13610) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-13610