反射型 XSS.

攻撃者が制御するリクエストパラメータが即時にレスポンスへ反映され、被害者のブラウザで実行される非永続型 XSS。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

攻撃者が制御するリクエストパラメータが即時にレスポンスへ反映され、被害者のブラウザで実行される非永続型 XSS。

反射型 XSS(非永続型、Type-1)は、Web アプリケーションが HTTP リクエスト中のデータ(多くは URL クエリ文字列やフォーム入力)を取り出し、適切な出力エンコードを行わずレスポンスに含めてしまった場合に発生します。攻撃には被害者が細工されたリンクをクリックする必要があるため、フィッシング、悪性広告、チャットメッセージなどを介して配布されるのが一般的です。成功するとセッション Cookie の窃取、ユーザに代わった操作、最終的な完全なアカウント乗っ取りへと発展する可能性があります。対策には文脈別の HTML エンコード、厳格な Content Security Policy、テンプレートを自動エスケープするフレームワークの活用が含まれます。

反射型 XSS に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: 非永続型 XSS, Type-1 XSS。