# Czym jest cross-site scripting (XSS)?

> Cross-site scripting (XSS) to słabość aplikacji webowych pozwalająca na interpretowanie kontrolowanej przez atakującego treści jako kodu wykonywalnego w przeglądarce innego użytkownika w zaufanym kontekście aplikacji.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/cross-site-scripting/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Treść może być zwrócona natychmiast, zapisana i podana później lub wprowadzona przez niebezpieczną manipulację dokumentu po stronie klienta. Wykonanie może działać z pochodzeniem (origin) strony i dostępnym kontekstem użytkownika, wpływając na wyświetlaną treść, dane lub akcje.

Zapobieganie zależy od trzymania niezaufanych danych poza kontekstami wykonywalnymi. Aplikacje powinny używać bezpiecznych zachowań frameworków i sinków, stosować kodowanie wyjścia specyficzne dla kontekstu i oczyszczać treść, gdy użytkownicy mogą celowo dostarczać ograniczony znacznik.

### Najważniejsze punkty

- **Typowe formy:** Reflected XSS zwraca niebezpieczne wejście w odpowiedzi, stored XSS podaje wcześniej zapisane treści, a XSS oparty na Document Object Model powstaje z niebezpiecznego przepływu i wykonania danych po stronie klienta.
- **Główna prewencja:** Preferuj szablonowanie i interfejsy przeglądarki traktujące wartości jako tekst, koduj wyjście dla dokładnego kontekstu, waliduj niebezpieczne URL-e, unikaj niepotrzebnego dynamicznego wykonania kodu i używaj utrzymywanych oczyszczaczy dla dozwolonego znacznika.
- **Ograniczanie skutków:** Stosuj dobrze zaprojektowaną Content Security Policy, chroń wrażliwe ciasteczka, minimalizuj eksponowane dane przeglądarki i ograniczaj skrypty stron trzecich jako obronę w głębi, a nie substytuty bezpiecznej obsługi danych.
- **Istotne ograniczenie:** Walidacja wejścia, zapora aplikacji webowych ani sama Content Security Policy nie może objąć każdego kontekstu wykonania ani ścieżki po stronie klienta. Polityka same-origin przeglądarki nie zapobiega kodowi, który sama zaufana strona wprowadziła.

### Powiązane terminy

[Bezpieczeństwo aplikacji webowych](<https://yellowcube.eu/pl/glossary/web-application-security/>) · [Cross-site request forgery (CSRF)](<https://yellowcube.eu/pl/glossary/cross-site-request-forgery/>) · [Clickjacking](<https://yellowcube.eu/pl/glossary/clickjacking/>) · [Zapora aplikacji webowych (WAF)](<https://yellowcube.eu/pl/glossary/web-application-firewall/>) · [Bezpieczeństwo przeglądarki](<https://yellowcube.eu/pl/glossary/browser-security/>)

### Źródła

[OWASP Cross-Site Scripting Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html) · [MITRE CWE-79: Cross-site Scripting](https://cwe.mitre.org/data/definitions/79.html)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.