Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 1107

Хранимый XSS

Что такое Хранимый XSS?

Хранимый XSSПостоянная межсайтовая скриптинг-уязвимость: вредоносный скрипт сохраняется на сервере и выполняется в браузере каждого посетителя.

Хранимый XSS (также называемый постоянным, Type-2) возникает, когда приложение принимает недоверенный ввод, сохраняет его в базе данных, файловой системе или журналах и впоследствии выводит в HTML без корректного выходного кодирования. Поскольку полезная нагрузка хранится на сервере, скрипт автоматически срабатывает у каждого пользователя, открывшего уязвимую страницу, что делает уязвимость одной из самых опасных. Типичные цели — поля комментариев, профили, отзывы и административные панели, отображающие записи журналов. Защита включает контекстно-зависимое кодирование вывода, строгую Content Security Policy, валидацию входных данных и санитизирующие библиотеки (например, DOMPurify).

● Примеры

  1. 01

    Комментарий с <script>fetch('/api/me').then(...)</script>, выполняющийся у каждого читателя.

  2. 02

    Атакующий сохраняет полезную нагрузку в имени профиля, и она срабатывает в админ-панели.

● Частые вопросы

Что такое Хранимый XSS?

Постоянная межсайтовая скриптинг-уязвимость: вредоносный скрипт сохраняется на сервере и выполняется в браузере каждого посетителя. Относится к категории Атаки и угрозы в кибербезопасности.

Что означает Хранимый XSS?

Постоянная межсайтовая скриптинг-уязвимость: вредоносный скрипт сохраняется на сервере и выполняется в браузере каждого посетителя.

Как работает Хранимый XSS?

Хранимый XSS (также называемый постоянным, Type-2) возникает, когда приложение принимает недоверенный ввод, сохраняет его в базе данных, файловой системе или журналах и впоследствии выводит в HTML без корректного выходного кодирования. Поскольку полезная нагрузка хранится на сервере, скрипт автоматически срабатывает у каждого пользователя, открывшего уязвимую страницу, что делает уязвимость одной из самых опасных. Типичные цели — поля комментариев, профили, отзывы и административные панели, отображающие записи журналов. Защита включает контекстно-зависимое кодирование вывода, строгую Content Security Policy, валидацию входных данных и санитизирующие библиотеки (например, DOMPurify).

Как защититься от Хранимый XSS?

Защита от Хранимый XSS обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия Хранимый XSS?

Распространённые альтернативные названия: Постоянный XSS, XSS типа 2.

● Связанные термины

● См. также