XSS Basado en DOM.

Variante de XSS donde la inyección y la ejecución ocurren totalmente en el navegador porque JavaScript del cliente escribe datos no confiables en un sink sin sanear. Pertenece a la categoría de Ataques y amenazas en ciberseguridad.

Variante de XSS donde la inyección y la ejecución ocurren totalmente en el navegador porque JavaScript del cliente escribe datos no confiables en un sink sin sanear.

El XSS basado en DOM (también Tipo 0) es una vulnerabilidad de scripting entre sitios cuya causa reside íntegramente en el código del cliente. Una fuente de datos — por ejemplo location.hash, document.referrer, window.name, postMessage o localStorage — se pasa sin saneamiento a un sink peligroso del DOM como innerHTML, document.write, eval o jQuery.html. El servidor nunca ve la carga, por lo que la vulnerabilidad es invisible para WAFs tradicionales y registros. Las defensas incluyen APIs seguras como textContent, Trusted Types en navegadores modernos, una CSP estricta y herramientas que analizan el flujo de datos contaminados.

Las defensas contra XSS Basado en DOM combinan habitualmente controles técnicos y prácticas operativas, como se detalla en la definición.

Nombres alternativos comunes: XSS Tipo 0, XSS de cliente.