# Co je cross-site scripting (XSS)?

> Cross-site scripting (XSS) je slabost webové aplikace, která umožňuje útočníkem řízenému obsahu být interpretován jako spustitelný kód v prohlížeči jiného uživatele v rámci důvěryhodného kontextu aplikace.

- Kanonická URL: https://yellowcube.eu/cs/glossary/cross-site-scripting/
- Vydavatel: Yellow Cube
- Jazyk: cs
- Kontakt: hello@yellowcube.eu

## Obsah

Obsah může být vrácen okamžitě, uložen a podán později, nebo zaveden nebezpečnou manipulací dokumentu na straně klienta. Provádění může jednat s originem stránky a přístupným kontextem uživatele, čímž ovlivní zobrazený obsah, data či akce.

Prevence závisí na držení nedůvěryhodných dat mimo spustitelné kontexty. Aplikace by měly používat bezpečné chování frameworků a sinky, uplatňovat kontextově specifické kódování výstupu a sanitizovat obsah, když mohou uživatelé záměrně dodávat omezené markup.

### Klíčové body

- **Běžné formy:** Reflected XSS vrací nebezpečný vstup v odpovědi, stored XSS podává dříve uložený obsah a XSS založené na Document Object Modelu vzniká z nebezpečného toku dat a provádění na straně klienta.
- **Primární prevence:** Preferujte templating a rozhraní prohlížeče, která zacházejí s hodnotami jako s textem, kódujte výstup pro jeho přesný kontext, validujte nebezpečné URL, vyhýbejte se zbytečnému dynamickému provádění kódu a používejte udržované sanitizery pro povolené markup.
- **Zadržení:** Uplatňujte dobře navrženou Content Security Policy, chraňte citlivé cookies, minimalizujte exponovaná data prohlížeče a omezujte skripty třetích stran jako hloubkovou obranu, nikoli náhradu bezpečného zacházení s daty.
- **Důležité omezení:** Validace vstupu, firewall webových aplikací či Content Security Policy samy nedokážou pokrýt každý kontext provádění či cestu na straně klienta. Politika stejného originu prohlížeče nezabraňuje kódu, který samotná důvěryhodná stránka zavedla.

### Související termíny

[Zabezpečení webových aplikací](<https://yellowcube.eu/cs/glossary/web-application-security/>) · [Cross-site request forgery (CSRF)](<https://yellowcube.eu/cs/glossary/cross-site-request-forgery/>) · [Clickjacking](<https://yellowcube.eu/cs/glossary/clickjacking/>) · [Firewall webových aplikací (WAF)](<https://yellowcube.eu/cs/glossary/web-application-firewall/>) · [Zabezpečení prohlížeče](<https://yellowcube.eu/cs/glossary/browser-security/>)

### Zdroje

[OWASP Cross-Site Scripting Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html) · [MITRE CWE-79: Cross-site Scripting](https://cwe.mitre.org/data/definitions/79.html)

## Pojďme budovat chytřejší kybernetickou obranu Společně

Dlouhodobá partnerství stavíme na důvěře, odbornosti a společném úspěchu. Ať chcete rozvíjet své podnikání, rozšířit nabídku kybernetické bezpečnosti nebo uvést inovativní řešení na nové trhy, v Yellow Cube najdete spolehlivého partnera.

[Spojte se s Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Uvedení zdroje a rozsah

Tato verze Markdown vzniká ze stejných schválených záznamů jako kanonická stránka HTML. Při citování použijte kanonickou adresu.