78 600 000 000
gemiusAdReal, badanie cross-mediowe rynku reklamowego w Polsce, sierpień 2026
Gemius09/2026ポーランド
他のユーザーのブラウザで実行されるスクリプトを注入する攻撃。そのユーザーのセッションを乗っ取ったり、ページの内容を改ざんしたり、別の場所にリダイレクトしたりできる。
なぜ重要か
攻撃者はサーバーへのアクセスを必要としない。管理者が攻撃者のスクリプトが含まれたページを開くだけで、管理者のセッションが攻撃者に奪われる。
なければ何が困るか
ユーザー入力のコンテンツを表示する際に文字のエスケープ処理を行わなければ、すべてのフォームが攻撃の入り口になる。AIモデルが生成したテキストにも同じ問題が適用される。
いつ使うか
外部から取得したデータ（APIやモデルからの出力も含む）をページに表示する際に常に適用する必要がある。
私たちの使い方
永続的なXSSはデータベース（コメント、プロフィールなど）に残り、ページを閲覧するすべてのユーザーに対して実行される。最も危険な形態である。
知っておきたい数字