攻撃の仕組み

出力時のエスケープ不備により、入力値がHTML・JavaScriptとして解釈され、セッション情報の窃取や画面改ざんにつながる。

攻撃が成立する条件

• ユーザー入力を適切にエスケープせずに出力している
• Content Security Policy が未設定

発生原因

• 出力コンテキストに応じたエスケープの不足
• 危険なHTML挿入APIの利用

対策

• テンプレートエンジンの自動エスケープを使う
• CSP を設定する
• Cookie に HttpOnly 属性を付ける

MITRE ATT&CK

対応する技法は登録されていません。

関連インシデント

この手法が確認された登録インシデントはまだありません。