slug: xss
解説
XSSは「Webページの中に、攻撃者の悪意あるJavaScriptを忍び込ませる」攻撃です。
例えば掲示板に `<script>盗む()</script>` のような投稿をして、それを見た他のユーザーのCookie (ログイン情報) を盗む、といった攻撃が典型的です。
対策は「ユーザー入力を画面に出すときに、HTMLとして無害化 (エスケープ) する」こと。多くのフレームワークでは標準で対策されています。
具体例
2005年MySpaceワーム「Samy」: 1人の投稿が見るだけで他人のプロフィールにコピーされ、24時間で100万人に感染した有名事件。
関連タグ
このタグに関連する脆弱性 8,597
- 中 4.9 WordPress に クロスサイトスクリプティング WordPress に XSS (クロスサイトスクリプティング) (CVE-2025-12020) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-12020
- 中 6.4 Simple Donate (WordPress plugin) に クロスサイトスクリプティング Simple Donate (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11882) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11882
- 中 5.4 Slippy Slider – Responsive Touch Navigation Slider (WordPress plugin) の脆弱性 CVE-2025-11874
- 中 6.4 Paypal Donation Shortcode (WordPress plugin) に クロスサイトスクリプティング CVE-2025-11859
- 中 6.4 Twitter Feed (WordPress plugin) に クロスサイトスクリプティング Twitter Feed (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11860) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11860
- 中 6.4 Precise Columns (WordPress plugin) に クロスサイトスクリプティング Precise Columns (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11869) が存在。不正な操作・情報露出のリスクがあります。wrap_id 経由で攻撃可能。 CVE-2025-11869
- 中 6.4 My Geo Posts Free (WordPress plugin) に クロスサイトスクリプティング My Geo Posts Free (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11863) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11863
- 中 6.4 WP BBCode (WordPress plugin) に クロスサイトスクリプティング WP BBCode (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11873) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11873
- 中 6.4 Five9 Live Chat (WordPress plugin) に クロスサイトスクリプティング Five9 Live Chat (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11829) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11829
- 中 6.4 Skip to Timestamp (WordPress plugin) に クロスサイトスクリプティング Skip to Timestamp (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11805) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11805
- 中 6.4 Magazine Companion (WordPress plugin) に クロスサイトスクリプティング Magazine Companion (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11828) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11828
- 中 6.4 Woocommerce – Products By Custom Tax (WordPress plugin) に クロスサイトスクリプティング CVE-2025-11821
- 中 6.4 WP Bootstrap Tabs (WordPress plugin) に クロスサイトスクリプティング WP Bootstrap Tabs (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-11822) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-11822
- 中 6.4 Eventbee Ticketing Widget (WordPress plugin) に クロスサイトスクリプティング CVE-2025-11856
- 中 6.4 Include Fussball.de Widgets (WordPress plugin) に クロスサイトスクリプティング CVE-2025-11129
- 中 6.1 SAP Business Connector に クロスサイトスクリプティング SAP Business Connector に XSS (クロスサイトスクリプティング) (CVE-2025-42886) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-42886
- 重大 9.6 Github に クロスサイトスクリプティング Github に XSS (クロスサイトスクリプティング) (CVE-2025-11892) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-11892
- 高 7.6 ProsemirrorToHtml に クロスサイトスクリプティング ProsemirrorToHtml に XSS (クロスサイトスクリプティング) (CVE-2025-64501) が存在。機密情報が外部に流出する可能性があります。prosemirror_to_html 経由で攻撃可能。 CVE-2025-64501
- 高 8.8 Combodo に クロスサイトスクリプティング Combodo に XSS (クロスサイトスクリプティング) (CVE-2025-48065) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-48065
- 高 8.5 Combodo に クロスサイトスクリプティング Combodo に XSS (クロスサイトスクリプティング) (CVE-2025-48055) が存在。機密情報が外部に流出する可能性があります。 CVE-2025-48055
- 高 8.8 Combodo に クロスサイトスクリプティング Combodo に XSS (クロスサイトスクリプティング) (CVE-2025-47932) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-47932
- 高 8.8 Combodo に クロスサイトスクリプティング Combodo に XSS (クロスサイトスクリプティング) (CVE-2025-47773) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。 CVE-2025-47773
- 中 5.4 Soplanning に クロスサイトスクリプティング Soplanning に XSS (クロスサイトスクリプティング) (CVE-2025-41001) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-41001
- 中 5.4 Smart School に クロスサイトスクリプティング Smart School に XSS (クロスサイトスクリプティング) (CVE-2025-41107) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-41107
- 低 2.4 qianfox FoxCMS に クロスサイトスクリプティング qianfox FoxCMS に XSS (クロスサイトスクリプティング) (CVE-2025-12920) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-12920
- 中 6.4 aThemes Addons for Elementor (WordPress plugin) に クロスサイトスクリプティング CVE-2025-12837
- 中 6.4 Saphali LiqPay for donate (WordPress plugin) に クロスサイトスクリプティング CVE-2025-12643
- 中 6.1 Mang Board WP (WordPress plugin) に クロスサイトスクリプティング Mang Board WP (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-12193) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-12193
- 中 6.1 WP2Social Auto Publish (WordPress plugin) に クロスサイトスクリプティング WP2Social Auto Publish (WordPress plugin) に XSS (クロスサイトスクリプティング) (CVE-2025-12064) が存在。不正な操作・情報露出のリスクがあります。 CVE-2025-12064
- 中 6.4 Insert Headers and Footers Code – HT Script (WordPress plugin) に クロスサイトスクリプティング CVE-2025-12112