XSS (クロスサイトスクリプティング)

クロスサイトスクリプティング (XSS) は、攻撃者が信頼されている Web サイトに悪意ある JavaScript を注入できてしまう脆弱性です。ほかの利用者がそのページを開くと、悪意あるスクリプトが、信頼されたサイトの権限でブラウザ上で実行されます。

XSS 攻撃は、セッションクッキーを盗み、フォームの入力 (パスワードを含む) を捕らえ、利用者をフィッシングページへ転送し、ページの内容を改変できます。主な種類は、格納型 XSS (スクリプトがデータベースに保存される)、反射型 XSS (スクリプトが URL に埋め込まれる)、DOM 型 XSS (クライアント側の DOM を操作する) の 3 つです。

対策には、入力値の検証、出力のエスケープ、コンテンツセキュリティポリシー (CSP) ヘッダー、HttpOnly クッキー属性、そして安全なコーディング慣行があります。利用者側では、パスワードマネージャーが正規のドメインだけで自動入力し、注入されたフォームには入力しないことで守ってくれます。