Межсайтовый скриптинг или XSS представляет собой распространенную уязвимость безопасности, которая позволяет злоумышленникам внедрять вредоносный JavaScript-код на страницы веб-приложений, просматриваемые другими пользователями. Когда уязвимый сайт выводит непроверенные данные напрямую в интерфейс, браузер жертвы выполняет этот чужеродный скрипт в контексте доверенного домена. Это дает атакующим возможность красть конфиденциальные куки, сессионные токены, перехватывать управление аккаунтами или незаметно перенаправлять пользователей на фальшивые сайты. Различают отраженные, хранимые и DOM-базовые типы XSS-атак, каждый из которых требует специфических методов предотвращения. Главным способом защиты является строгая фильтрация, экранирование всего входящего и выводимого пользовательского контента, а также корректное использование политики защиты содержимого CSP, которые блокируют выполнение неавторизованных скриптов в браузере.
XSS (Cross-Site Scripting)