CAPEC-199ДетальныйЧерновик
XSS с использованием альтернативного синтаксиса
Злоумышленник использует альтернативные формы ключевых слов или команд, дающие тот же результат, что и основная форма, однако которые могут не обнаруживаться фильтрами. Например, многие ключевые слова обрабатываются без учёта регистра. Если алгоритм веб-фильтрации сайта не приводит все теги к единому регистру перед сравнением с запрещёнными ключевыми словами, можно обойти фильтры (например, неполные запрещающие списки), используя альтернативные регистровые формы. Например, тег «script» в альтернативных формах «Script» или «ScRiPt» может обходить фильтры, в которых проверяется только форма «script». Также возможны иные варианты с использованием других синтаксических представлений, а также с применением символов-загрязнителей или сущностей, в итоге игнорируемых механизмом отображения. Результатом атаки может быть выполнение иначе запрещённой функциональности.
Открыть в каталоге с фильтром CAPEC →Связанные уязвимости
CVE-2025-54369Node-SAML is a SAML library not dependent on any frameworks that runs in Node. In versions 5.0.1 and below, Node-SAML loads the assertion from the (unsigned) original response document. This is different than the parts that are verified when checking signature. This allows an attacker to modify authentication details within a valid SAML assertion. For example, in one attack it is possible to remove any character from the SAML assertion username. This issue is fixed in version 5.1.0.
CVE-2025-8561The Ova Advent plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's shortcodes in all versions up to, and including, 1.1.7 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
CVE-2023-35161XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать страницу DeleteApplication для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/view/AppWithinMinutes/DeleteApplication?appName=Menu&resolve=true&xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 6.2-milestone-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35160XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон повторной отправки для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/view/XWiki/Main xpage=resubmit&resubmit=javascript:alert(document.domain)&xback=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 2.5-milestone-2. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35159XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон deletespace для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/deletespace/Sandbox/?xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 3.4-milestone-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35158XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон восстановления для выполнения XSS, например, используя URL-адрес, такой как: > /xwiki/bin/view/XWiki/Main?xpage=restore&showBatch=true&xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 9.4-rc-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35156XWiki Platform — это универсальная платформа вики, предлагающая службы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделать URL-адрес с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон удаления для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/get/FlamingoThemes/Cerulean?xpage=xpart&vm=delete.vm&xredirect=javascript:alert(document.domain). Эта уязвимость существует с XWiki 6.0-rc-1. Уязвимость была исправлена в XWiki 14.10.6 и 15.1. Обратите внимание, что частичное исправление было предоставлено в версии 14.10.5, но его было недостаточно для полного устранения уязвимости.
CVE-2024-8505Плагин WordPress Infinite Scroll – Ajax Load More для WordPress уязвим для хранения межсайтового скриптинга через параметр ‘button_label’ во всех версиях до 7.1.2 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет аутентифицированным злоумышленникам с уровнем доступа «Участник» и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь заходит на зараженную страницу.
CVE-2024-3162Плагин Jeg Elementor Kit для WordPress уязвим для Stored Cross-Site Scripting через атрибуты виджета Testimonial во всех версиях до 2.6.3 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет аутентифицированным злоумышленникам с правами доступа contributor или выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь заходит на внедренную страницу. CVE-2024-32721, вероятно, является дубликатом этой проблемы.
CVE-2024-25640Iris — это веб-платформа для совместной работы, которая помогает специалистам по реагированию на инциденты обмениваться техническими деталями во время расследований. В iris-web была выявлена сохраненная уязвимость межсайтового скриптинга (XSS), затрагивающая несколько мест в версиях до v2.4.0. Уязвимость может позволить злоумышленнику внедрить вредоносные скрипты в приложение, которые затем могут быть выполнены, когда пользователь посещает затронутые места. Это может привести к несанкционированному доступу, краже данных или другим связанным вредоносным действиям. Для эксплуатации этой уязвимости злоумышленник должен быть аутентифицирован в приложении. Проблема устранена в версии v2.4.0 iris-web. Обходных путей не существует.
CVE-2022-20963Уязвимость в веб-интерфейсе управления Cisco Identity Services Engine (ISE) может позволить аутентифицированному удаленному злоумышленнику провести атаку межсайтового скриптинга (XSS) против пользователя веб-интерфейса управления затронутого устройства.
Эта уязвимость связана с недостаточной проверкой вводимых пользователем данных веб-интерфейсом управления затронутого устройства. Злоумышленник может воспользоваться этой уязвимостью, внедрив вредоносный код на определенные страницы интерфейса. Успешная эксплуатация может позволить злоумышленнику выполнить произвольный код сценария в контексте затронутого интерфейса или получить доступ к конфиденциальной информации на основе браузера. Чтобы воспользоваться этой уязвимостью, злоумышленнику потребуются действующие учетные данные для доступа к веб-интерфейсу управления затронутого устройства.
CVE-2021-40131Уязвимость в веб-интерфейсе управления Cisco Common Services Platform Collector (CSPC) может позволить прошедшему проверку подлинности удаленному злоумышленнику провести атаку межсайтового скриптинга (XSS) против пользователя интерфейса. Эта уязвимость связана с недостаточной проверкой введенных пользователем данных, которые обрабатываются веб-интерфейсом управления. Злоумышленник может воспользоваться этой уязвимостью, добавив вредоносный код в конфигурацию с помощью веб-интерфейса управления. Успешная эксплуатация может позволить злоумышленнику выполнить произвольный код в контексте интерфейса или получить доступ к конфиденциальной информации на основе браузера.
CVE-2025-48076Galette is a membership management web application for non profit organizations. Versions 1.1.5.2 and below allow a user to edit a group name and insert an XSS payload. This issue is fixed in version 1.2.0.
CVE-2025-65961Contao is an Open Source CMS. From version 4.0.0 to before 4.13.57, before 5.3.42, and before 5.6.5, it is possible to inject code into the template output that will be executed in the browser in the front end and back end. This issue has been patched in versions 4.13.57, 5.3.42, and 5.6.5. A workaround for this issue involves not using the affected templates or patch them manually.
CVE-2023-20208Уязвимость в веб-интерфейсе управления Cisco ISE может позволить аутентифицированному удаленному злоумышленнику провести XSS-атаку против пользователя веб-интерфейса управления затронутого устройства.