CAPEC-199ДетальныйЧерновик
XSS с использованием альтернативного синтаксиса
Злоумышленник использует альтернативные формы ключевых слов или команд, дающие тот же результат, что и основная форма, однако которые могут не обнаруживаться фильтрами. Например, многие ключевые слова обрабатываются без учёта регистра. Если алгоритм веб-фильтрации сайта не приводит все теги к единому регистру перед сравнением с запрещёнными ключевыми словами, можно обойти фильтры (например, неполные запрещающие списки), используя альтернативные регистровые формы. Например, тег «script» в альтернативных формах «Script» или «ScRiPt» может обходить фильтры, в которых проверяется только форма «script». Также возможны иные варианты с использованием других синтаксических представлений, а также с применением символов-загрязнителей или сущностей, в итоге игнорируемых механизмом отображения. Результатом атаки может быть выполнение иначе запрещённой функциональности.
Открыть в каталоге с фильтром CAPEC →Связанные уязвимости
CVE-2025-54369Node-SAML - это библиотека SAML, не зависящая от каких-либо фреймворк, которые запускаются в Node. В версиях 5.0.1 и ниже Node-SAML загружает утверждение из (неподписанного) оригинального ответного документа. Это отличается от частей, которые проверяются при проверке подписи. Это позволяет злоумышленнику изменять данные аутентификации в рамках действительного утверждения SAML. Например, в одной атаке можно удалить любой символ из имени пользователя SAML. Эта проблема исправлена в версии 5.1.0.
CVE-2026-33510Homarr - это панель с открытым исходным кодом. До 1.57.0 на странице Homarr /auth/login была обнаружена уязвимость Cross-Site Scripting (XSS) на основе DOM. Приложение ненадлежащим образом доверяет параметр URL (callbackUrl), который передается перенаправлению и router.push. Злоумышленник может создать вредоносную ссылку, которая при открытии аутентифицированным пользователем выполняет перенаправление на стороне клиента и выполняет произвольный JavaScript в контексте своего браузера. Это может привести к краже учетных данных, внутреннему развороту сети и несанкционированным действиям, совершенным от имени жертвы. Эта уязвимость зафиксирована в разделе 1.57.0.
CVE-2026-33506Ory Polis, ранее известный как BoxyHQ Jackson, соединяет или прокси поступает входа в систему SAML в OAuth 2.0 или OpenID Connect. Версии до 26.2.0 содержат уязвимость кросс-сайта на основе DOM (XSS) в функции входа в систему Ory Polis. Приложение ненадлежащимо доверяет параметр URL (`callbackUrl`), который передается на "router.push`". Злоумышленник может создать вредоносную ссылку, которая при открытии аутентифицированным пользователем (или неаутентифицированным пользователем, который позже вошел в систему), выполняет перенаправление на стороне клиента и выполняет произвольный JavaScript в контексте своего браузера. Это может привести к краже учетных данных, внутреннему развороту сети и несанкционированным действиям, совершенным от имени жертвы. Версия 26.2.0 содержит патч для выпуска.
CVE-2026-40321DNN (ранее DotNetNuke) - это платформа для управления веб-контентом с открытым исходным кодом (CMS) в экосистеме Microsoft. До версии 10.2.2 пользователь мог загрузить специально созданный файл SVG, который мог включать в себя скрипты, которые могут ориентироваться как на аутентифицированных, так и неаутифицированных пользователей DNN. Влияние увеличивается, если скрипты управляются энергетичным пользователем. Версия 10.2.2 исправляет проблему.
CVE-2026-45314Open WebUI - это самостояцированная платформа искусственного интеллекта, предназначенная для работы полностью в автономном режиме. До 0.9.3 поток веб-хука канала создает/обновляет принимает произвольные значения profile_image_url, включая data:image/svg+xml;base64,... полезные нагрузки. Затем конечная точка изображения профиля декодирует и служит этому SVG как изображение/svg+xml без дезинфекции, что позволяет обработчикам сценариев, контролируемым злоумышленником (например, загружать), когда URL-адрес изображения профиля открывается в браузере. Эта уязвимость зафиксирована в пункте 0.9.3.
CVE-2026-22711Неправильная нейтрализация альтернативной уязвимости синтаксиса XSS в The Wikimedia Foundation Mediawiki - Wikilove Extension позволяет осуществлять кросс-сайтные сценарии (XSS).Эк-то проблема была исправлена на филиале «мастер» и в релизах для версий MediaWiki 1.43, 1.44 и 1.45.
CVE-2025-8561Плагин Ova Advent для WordPress уязвим для хранения Cross-Site Scripting через шорткоды плагина во всех версиях до 1,17 из-за недостаточной санации ввода и выхода на поставляемые пользователем атрибуты. Это позволяет аутентифицированным злоумышленникам с доступом на уровне участника и выше вводить произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь получает доступ к инъекционной странице.
CVE-2025-14732The Elementor Website Builder - Больше, чем просто плагин конструктор страниц для WordPress уязвим для хранимых сценариев по кросс-сайту через несколько параметров виджетов во всех версиях до 3,35.5 и включительно из-за недостаточной дезинфекции ввода и выхода вывода. Это позволяет аутентифицированным злоумышленникам с доступом на уровне Участника и выше вводить произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь получает доступ к инъекционной странице.
CVE-2024-3666Плагин Opal Estate Pro – Property Management and Submission для WordPress подвержен межсайтовому скриптингу (XSS), хранящемуся в параметрах широты и долготы агента во всех версиях до 1.7.6 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет аутентифицированным злоумышленникам с уровнем доступа не ниже, чем у участника, внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь заходит на зараженную страницу.
CVE-2026-25688Неправильная нейтрализация уязвимости Альтернативного XSS Syntax в Apache Answer.
Эта проблема затрагивает Apache Answer: через 2.0.0.
Контент ответов, созданный ИИ, был отображен в браузере без надлежащей дезинфекционности, что позволило выполнять вредоносные скрипты при просмотре контента.
Пользователям рекомендуется обновиться до версии 2.0.1, которая устраняет проблему.
CVE-2024-3519Плагин Media Library Assistant для WordPress уязвим для отраженного межсайтового скриптинга через параметр lang во всех версиях до 3.15 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты на страницы, которые выполняются, если им удастся обманом заставить пользователя выполнить действие, например, щелкнуть ссылку.
CVE-2023-35161XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать страницу DeleteApplication для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/view/AppWithinMinutes/DeleteApplication?appName=Menu&resolve=true&xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 6.2-milestone-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35160XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон повторной отправки для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/view/XWiki/Main xpage=resubmit&resubmit=javascript:alert(document.domain)&xback=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 2.5-milestone-2. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35159XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон deletespace для выполнения XSS, например, используя URL-адрес, такой как: > xwiki/bin/deletespace/Sandbox/?xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 3.4-milestone-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.
CVE-2023-35158XWiki Platform — это универсальная вики-платформа, предлагающая сервисы времени выполнения для приложений, построенных на ее основе. Пользователи могут подделывать URL-адреса с полезной нагрузкой, позволяющей внедрять Javascript на страницу (XSS). Можно использовать шаблон восстановления для выполнения XSS, например, используя URL-адрес, такой как: > /xwiki/bin/view/XWiki/Main?xpage=restore&showBatch=true&xredirect=javascript:alert(document.domain). Эта уязвимость существует с версии XWiki 9.4-rc-1. Уязвимость была исправлена в XWiki 14.10.5 и 15.1-rc-1.