個人情報保護士認定試験 脅威と対策・組織的人的セキュリティ 練習問題 第43問: IPA「安全なウェブサイトの作り方」は、Webアプリケーションの脆弱性の一つとしてクロスサイト・スクリプティング（XSS）を解説している。同書のXSSの解説とし

正解: 4. XSSの脆弱性が生じやすいページの機能の例として、検索結果やエラーの表示が挙げられている

同書1.5は、XSSの脆弱性が生じやすいページの機能の例として、入力内容の確認画面、再入力を求める画面、検索結果の表示、エラー表示、コメントの反映を挙げています（4が正しい）。 1は誤りで、同書は、XSS攻撃の影響はウェブサイト自体に対してではなく、そのページを閲覧している利用者に及ぶとしています。 2は誤りで、入力値の内容チェック（5-(v)）は保険的対策とされ、根本的解決はウェブページに出力する全ての要素にエスケープ処理を施すこと（5-(i)）などです。 3は誤りで、XSSで発生しうる脅威として挙げられているのは、本物サイト上に偽のページが表示されること、ブラウザが保存しているCookieを取得されること、任意のCookieをブラウザに保存させられることで、ウェブサーバ上のファイルの改ざんはOSコマンド・インジェクション（1.2）などの脅威です。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: XSS・Webアプリケーション・脆弱性・根本的解決・保険的対策