Cross-Site-Scripting (XSS)

Cross-Site-Scripting (XSS) entsteht, wenn eine Webanwendung nicht vertrauenswürdige Eingaben ohne korrekte Escaping- oder Sanitization-Schritte in ihre Antworten einbettet, sodass vom Angreifer kontrolliertes JavaScript im Browser des Opfers ausgeführt wird. Die drei Hauptklassen sind reflektiertes XSS (Payload aus der Anfrage zurückgeworfen), gespeichertes XSS (Payload serverseitig persistiert, z. B. in Kommentaren) und DOM-basiertes XSS (Schwachstelle im Client-Code). Erfolgreiches XSS kann Sessions kapern, Tokens stehlen, Seiten defacen, Malware ausliefern oder mit SSRF und CSRF verkettet werden. Schutz bieten kontextsensitives Output-Encoding, eine strikte Content-Security-Policy, sichere Template-Engines, HTTPOnly- und SameSite-Cookies sowie Eingabevalidierung.