XSS (cross-site scripting)

XSS polega na umieszczeniu na stronie kodu (najczęściej JavaScript), który uruchamia się u odwiedzających. Może posłużyć do kradzieży sesji zalogowanego użytkownika, podmiany treści czy przekierowań, a wszystko po stronie ofiary, nie serwera.

Ochroną jest poprawne „escapowanie” treści (aby dane były wyświetlane, a nie wykonywane) oraz nagłówek Content‑Security‑Policy, który ogranicza, jakie skrypty przeglądarka może uruchomić.