XSS Basé sur le DOM.

Variante de XSS où l'injection et l'exécution se produisent entièrement dans le navigateur, du JavaScript client écrivant des données non assainies dans un sink dangereux. Cette notion relève de la catégorie Attaques et menaces en cybersécurité.

Variante de XSS où l'injection et l'exécution se produisent entièrement dans le navigateur, du JavaScript client écrivant des données non assainies dans un sink dangereux.

Le XSS basé sur le DOM (Type 0) est une faille de cross-site scripting dont la cause réside entièrement dans le code côté client. Une source de données — comme location.hash, document.referrer, window.name, postMessage ou localStorage — est passée sans assainissement vers un sink dangereux du DOM (innerHTML, document.write, eval, jQuery.html). Le serveur ne voit jamais la charge, ce qui rend la vulnérabilité invisible aux WAF et journaux serveur. Les défenses incluent l'utilisation d'API sûres comme textContent, l'activation de Trusted Types dans les navigateurs modernes, une CSP stricte et l'audit du JavaScript via des outils de suivi des données.

Les défenses contre XSS Basé sur le DOM combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : XSS Type 0, XSS côté client.