- XSSクロスサイトスクリプティング（Cross-Site Scripting）
- Web ページに不正なスクリプトを埋め込まれ、そのページを見た利用者のブラウザーで動いてしまう脆弱性。
このページの内容
意味
XSS は、Web アプリケーションが入力を正しく扱わないために、ほかの利用者のブラウザーで攻撃者のスクリプトが動いてしまう脆弱性です。CWE-79 として整理されています。利用者のログインの状態を奪われるなど、利用者の側に影響が出ることがあります。
| 観点 | XSS | SQL インジェクション |
|---|---|---|
| どこで動くか | 利用者のブラウザー | サーバーのデータベース |
| 主な影響 | 利用者の画面・ログインの状態 | データベースの中身 |
| CWE | CWE-79 | CWE-89 |
事件のときの見方
- 管理画面の XSS は、管理者の権限で操作されるおそれがあるため、対象の画面がどこかを確かめる
- お客様向けのページで起きた場合、お知らせではお客様の側ですること（ログアウトなど）が要るかを書く
{{製品名}}にクロスサイトスクリプティングの脆弱性（CVE-{{年}}-{{番号}}）が公表されました。御社が当社向けに提供しているサービスでの使用の有無、使用している場合はバージョンと修正版の適用の予定をお知らせください。
secubell のレポートでの扱い
事件の要点で、この語が出てくるときは言い換えと原典へのリンクを添えています。
レポートの中身サンプルレポートで見る →
原典・参考にした資料
- MITRE「CWE-79: Cross-site Scripting」
- OWASP「Cross Site Scripting (XSS)」
このページは secubell が公開情報をもとにまとめた一般的な解説です。法的な判断や、個別の状況への助言ではありません。内容は原典で確かめ、自社の契約・体制に合わせてお使いください。法令上の報告・通知が要るかどうかの最終的な判断は、お客様ご自身と、弁護士などの専門家で行ってください。