サイトでユーザーのログインが許可されていない場合、XSSは依然として危険ですか？

Question

公開サイトを立ち上げようとしています。セキュリティレビューチームにXSSの脆弱性が戻ってきました。本質的にはパンフレットサイトです。ログインはなく、ユーザーが投稿した情報は公開されていません。

XSSはまだ気にする必要がありますか？

Answer 1

はい XSSを使用すると、ハッカーはサイトのコンテンツを制御することができ、通常は修正のための単一の関数呼び出しを行います。あなたにこの質問を投稿するよりも、この問題を解決するのに必要な労力が少なくて済みます。

あなたはフォックスニュースだと言って、誰かがXSSを使ってニュースを作ることができます。さらに、それはあなたのユーザーにダウンロード攻撃によってドライブを提供するために使用することができます。あなたのケースでは、誰かが不当な主張で偽のパンフレットを作成する可能性があります。

Answer 2

はい、XSSの脆弱性をユーザーデータに絞る必要はありません。サイトをマルウェア配布サイトに変えるために使用できます。攻撃者がXSSに「あなたのコンピュータにウイルスがあるかもしれない」という警告をポップアップし、詐欺師の偽のウイルススキャナのダウンロードを開始すると想像してください。あなたは、詐欺に陥ったすべてのユーザーによって責められます。