クロスサイトスクリプティングの履歴(No.5)

情報†

ネットワークを通じた攻撃手法の一つで、保安上の弱点(脆弱性)のあるWebサイトを踏み台に、悪意のあるプログラムを
そのサイトの訪問者に送り込む手法。また、そのような攻撃に利用される脆弱性のこと(XSS脆弱性)

これだけだと自分が入力したスクリプトを自分が実行するだけであるので何の問題もないだろう。しかし他人が作成した
スクリプトを実行させられるとしたら脅威となることが分かっていただけるだろう

イベントハンドラ属性
イベントハンドラ部分へ入力データを埋め込むことは危険であるため行うべきではない。

IPAが届出(*1)を受けた脆弱性関連情報を基に、届出件数の多かった脆弱性や攻撃による影響度が大きい脆弱性を取り上げ、ウェブサイト
開発者や運営者が適切なセキュリティを考慮したウェブサイトを作成するための資料です

サーバ上でのHTMLの生成時には問題はなく，ブラウザ上で動作するJavaScript上のコードに問題があるために発生します。