また、2026年時点でもXSSは過去の脆弱性ではありません。

現行のOWASP Top 10:2025では、XSSは独立項目ではなく「A05:2025 Injection」に含まれます。同資料では、CWE-79に関連するCVEが3万件を超えるとされています。これは、XSSが現在も極めて頻繁に報告される脆弱性であることを示します。

この記事で分かること

この記事では、次の内容を理解できます。

• 反射型、格納型、DOM型の違い

• Server XSSとClient XSSの違い

• Blind XSSとSecond-order XSSの違い

• Mutation XSSがサニタイザーをすり抜ける仕組み

• SVG、MathML、Markdown、ファイルアップロードの危険性

• DOM Clobbering、Prototype Pollution、Script Gadgetとの関係

• WebSocket、postMessage、API経由のXSS

• Universal XSS、拡張機能、WebViewのXSS

• XSSと似ているが別物の攻撃

• DjangoやJavaScript環境での確認方法

• CSP、Trusted Types、WAF、IPS、EDRの役割

• 修正後の動作確認と再発防止

対象読者・前提環境

本記事は、次の読者を対象としています。