格納型 XSS.

攻撃者が送り込んだスクリプトがサーバ側に保存され、ページを閲覧したすべてのユーザのブラウザで実行される永続型クロスサイトスクリプティング。 サイバーセキュリティの 攻撃と脅威 カテゴリに属します。

攻撃者が送り込んだスクリプトがサーバ側に保存され、ページを閲覧したすべてのユーザのブラウザで実行される永続型クロスサイトスクリプティング。

格納型 XSS(永続型 XSS、Type-2 XSS とも呼ばれる)は、アプリケーションが信頼できない入力を受け取り、データベース、ファイルシステム、ログなどに保存し、その後に適切な出力エンコードを行わず HTML としてレンダリングした場合に発生します。ペイロードはサーバ側に存在するため、該当ページを閲覧するすべての利用者の環境で自動的にスクリプトが実行され、被害範囲が極めて広くなります。コメント欄、ユーザプロフィール、レビュー、ログを表示する管理画面などが典型的な攻撃対象です。対策としては、文脈に応じた出力エンコード、厳格な Content Security Policy、入力検証、DOMPurify などのサニタイズライブラリの利用が重要です。

格納型 XSS に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: 持続型 XSS, Type-2 XSS。