[{"data":1,"prerenderedAt":124},["ShallowReactive",2],{"publication:he:P152":3},{"meta":4,"copy":15,"relatedArticles":110,"terms":111,"term":112,"resourceParent":118,"glossaryParent":121},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14},"P152","\u002Fglossary\u002Fxss","term","מה זה XSS","מה זה XSS ואיך מידע הופך לקוד בדפדפן","XSS הוא מצב שבו מידע לא מהימן מפורש כתוכן פעיל בדפדפן. הסבר על פלט, הקשר, סוגי חולשה וגבולות ההגנה באתר עסקי.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fwordpress-security","2026-10-29",{"intro":16,"sections":17,"checklist":71,"faq":76,"sources":86,"links":88,"cta":105},"XSS, קיצור של Cross-Site Scripting, הוא סוג חולשה שבו מידע לא מהימן יכול להתפרש בדפדפן כתוכן פעיל במקום להישאר נתון. ההשפעה תלויה במקום ובסמכויות של ההקשר שבו התוכן מוצג. זו אינה רק שגיאת עיצוב, והגנה על הקשר באמצעות HTTPS אינה מבטיחה שהיישום מטפל בפלט בבטחה.",[18,27,54,61,66],{"title":19,"paragraphs":20,"sources":23},"למה ההקשר שבו מציגים מידע חשוב",[21,22],"אותו ערך יכול להופיע כטקסט, במאפיין HTML, בקישור או בקוד דפדפן. אלה הקשרים שונים, והטיפול המתאים לאחד אינו בהכרח מתאים לאחר. OWASP מדגישה קידוד פלט לפי ההקשר ושימוש נכון בהגנות של המסגרת שבה מפתחים.","בדיקה של פורמט קלט חשובה לצורכי היישום, אך אינה לבדה הבטחה שהמידע מוצג בבטחה בכל מקום. גם מידע שנשמר במערכת או הגיע מספק אינו אוטומטית מהימן. צריך להבין את הנתיב מן המקור ועד לנקודת התצוגה.",[24],{"label":25,"url":26},"OWASP: הגנת פלט מפני XSS","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FCross_Site_Scripting_Prevention_Cheat_Sheet.html",{"title":28,"paragraphs":29,"table":31},"איך מתארים מסלולים נפוצים בלי לבלבל ביניהם",[30],"מקובל להבחין בין מידע שחוזר בתשובה למשתמש לבין מידע שנשמר ומוצג בהמשך. גם עיבוד בצד הדפדפן יכול ליצור את הפרשנות הלא בטוחה. אלה תיאורים של זרימה והקשר, ולא שלוש קופסאות שכל מקרה חייב להשתייך רק לאחת מהן.",{"caption":32,"headers":33,"rows":37},"שאלות למיפוי מקור ותצוגה",[34,35,36],"מסלול","מה בודקים","דוגמת הקשר ללא קוד תקיפה",[38,42,46,50],[39,40,41],"תשובה לבקשה","איך נתון מוחזר למסך","מסך חיפוש",[43,44,45],"מידע שמור","מי רואה את התוכן בהמשך","הערה שמוצגת למנהל",[47,48,49],"עיבוד בדפדפן","איך ערך מגיע ליעד תצוגה","רכיב שקורא מידע מקישור",[51,52,53],"HTML עשיר","מה מותר להציג וכיצד מטפלים בו","עורך תוכן עם הרשאות מוגדרות",{"title":55,"paragraphs":56,"sources":59},"איזו הגנה מתאימה לנתונים ואיזו לתוכן עשיר",[57,58],"כאשר המטרה היא להציג טקסט, משתמשים בדרך תצוגה בטוחה ובהגנות המתאימות להקשר. כאשר נדרש HTML עשיר, צריך מנגנון נתמך להגבלת התוכן המותר ולא רק החלפת תווים ידנית. שינוי שגוי עלול לפגוע בתפקוד או להשאיר מסלול שלא טופל.","CSP ובקרות אחרות יכולות להוסיף שכבה, אך אינן מתקנות אוטומטית כל נקודת פלט לא בטוחה. אין תוסף או כותרת יחידים שמוכיחים שהאתר כולו מוגן. בתיקון בודקים גם את מקור הנתון, הרשאות היוצר והמסכים שאליהם הוא מגיע.",[60],{"label":25,"url":26},{"title":62,"paragraphs":63},"דוגמה: הערה בטופס מוצגת בהמשך למנהל",[64,65],"התרחיש להמחשה בלבד. תוכן פנייה נשמר ואז מוצג בממשק שירות. אם התצוגה מתייחסת למידע כאל קוד במקום כטקסט, סיכון יכול להופיע בעת קריאת הפנייה ולא רק בזמן שליחתה. הדוגמה מסבירה זרימה ואינה הוראה לניסוי על מערכת חיה.","בדיקה מורשית צריכה למפות את מסכי התצוגה ואת המשתמשים, לתקן את ההקשר ולבצע בדיקה חוזרת בנתוני ניסיון. לא מעבירים מחרוזות חשודות או תוכן לקוחות לערוצי תמיכה ציבוריים ללא טיפול מתאים.",{"title":67,"paragraphs":68},"מה XSS אינו אומר על האירוע באתר",[69,70],"קיומה של חולשה אינו מוכיח שמישהו ניצל אותה. שינוי בדף יכול לנבוע מכמה סיבות, וצריך לבחון קוד, גרסה וראיות. אם יש תוכן לא מוכר או חשבון חשוד, משמרים מידע ומפרידים תיקון קוד מבירור היקף הפגיעה.","XSS שונה מ-SQL Injection במסד ומ-CSRF בפעולה מאומתת. ההבדל עוזר לבקש תוצר נכון: תיאור הזרימה, הגנה בהקשר הרלוונטי ובדיקת תפקוד אחרי התיקון, ולא רק הודעה שהתו המסוים נחסם.",[72,73,74,75],"מופה מקור הנתון ויעד התצוגה.","ההגנה מתאימה להקשר הפלט.","HTML עשיר נבחן בנפרד מטקסט רגיל.","סוג חולשה הופרד מראיה לניצול.",[77,80,83],{"question":78,"answer":79},"XSS קורה רק בתגובות ציבוריות?","לא, הוא עשוי להיות רלוונטי לכל נקודת תצוגה לא בטוחה, כולל מסכים פנימיים, בהתאם ליישום.",{"question":81,"answer":82},"אם המסגרת עושה escaping, אין צורך לבדוק?","הגנות ברירת מחדל עוזרות, אך צריך לבדוק מקומות שעוקפים אותן, הקשרים מיוחדים ותוכן עשיר. שימוש במסגרת אינו הוכחה גורפת.",{"question":84,"answer":85},"XSS ו-CSRF הם אותה חולשה?","לא, XSS עוסק בתוכן פעיל לא רצוי בדפדפן; CSRF עוסק בבקשה לפעולה דרך הקשר מאומת. לכל אחד מודל ובקרות שונים.",[87],{"label":25,"url":26},[89,92,95,98,100,102],{"path":90,"label":91},"\u002Fglossary\u002Fsql-injection","מה זה SQL Injection",{"path":93,"label":94},"\u002Fglossary\u002Fcsrf","מה זה CSRF",{"path":96,"label":97},"\u002Fglossary\u002Fplugin-vulnerability","הבנת חולשה בתוסף",{"path":12,"label":99},"בדיקת אבטחת אתר",{"path":13,"label":101},"אבטחת WordPress",{"path":103,"label":104},"\u002Fglossary\u002Fcsp","CSP כשכבת הגנה נוספת בדפדפן",{"title":106,"description":107,"button":108,"type":109},"קיבלתם אזהרת XSS על רכיב באתר?","נמפה גרסה ומסלולי מידע ונגדיר בדיקה ותיקון בהיקף מורשה ומתועד.","לתיאום בדיקה וטיפול","check",[],[],{"name":113,"aliases":114},"XSS",[115,116,117],"xss","cross site scripting","הזרקת סקריפט",{"path":119,"label":120},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":122,"label":123},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134061400]