# Ce este cross-site scripting (XSS)?

> Cross-site scripting (XSS) este o slăbiciune de aplicație web care permite conținutului controlat de atacator să fie interpretat ca cod executabil în browserul altui utilizator, într-un context de aplicație de încredere.

- URL canonic: https://yellowcube.eu/ro/glossary/cross-site-scripting/
- Editor: Yellow Cube
- Limbă: ro
- Contact: hello@yellowcube.eu

## Conținut

Conținutul poate fi returnat imediat, stocat și servit ulterior sau introdus prin manipulare nesigură a documentului client-side. Execuția poate acționa cu origin-ul paginii și contextul de utilizator accesibil, afectând conținutul afișat, datele sau acțiunile.

Prevenirea depinde de păstrarea datelor nesigure în afara contextelor executabile. Aplicațiile trebuie să folosească comportament și sink-uri sigure ale framework-ului, să aplice codificare de ieșire specifică contextului și să sanitizeze conținutul când utilizatorilor li se permite intenționat să furnizeze markup limitat.

### Puncte esențiale

- **Forme obișnuite:** XSS-ul reflectat returnează intrarea nesigură într-un răspuns, XSS-ul stocat servește conținut salvat anterior, iar XSS-ul bazat pe Document Object Model apare din flux și execuție nesigură de date client-side.
- **Prevenire primară:** Preferați templating și interfețe de browser care tratează valorile ca text, codificați ieșirea pentru contextul său exact, validați URL-uri periculoase, evitați execuția inutilă de cod dinamic și folosiți sanitizere menținute pentru markup-ul permis.
- **Izolare:** Aplicați o Content Security Policy bine proiectată, protejați cookie-urile sensibile, minimizați datele de browser expuse și constrângeți scripturile terțe ca apărare în profunzime, nu ca substitut pentru tratarea sigură a datelor.
- **Limitare importantă:** Validarea intrărilor, un firewall pentru aplicații web sau Content Security Policy singură nu poate acoperi fiecare context de execuție sau cale client-side. Politica same-origin a unui browser nu previne codul pe care pagina de încredere însăși l-a introdus.

### Termeni asociați

[Securitatea aplicațiilor web](<https://yellowcube.eu/ro/glossary/web-application-security/>) · [Falsificare de cereri cross-site (CSRF)](<https://yellowcube.eu/ro/glossary/cross-site-request-forgery/>) · [Clickjacking](<https://yellowcube.eu/ro/glossary/clickjacking/>) · [Firewall pentru aplicații web (WAF)](<https://yellowcube.eu/ro/glossary/web-application-firewall/>) · [Securitatea browserului](<https://yellowcube.eu/ro/glossary/browser-security/>)

### Surse

[OWASP Cross-Site Scripting Prevention Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html) · [MITRE CWE-79: Cross-site Scripting](https://cwe.mitre.org/data/definitions/79.html)

## Să construim o apărare cibernetică mai eficientă împreună

Construim parteneriate de durată, bazate pe încredere, expertiză și succes comun. Fie că doriți să vă dezvoltați afacerea, să vă extindeți oferta de securitate cibernetică sau să lansați soluții inovatoare pe piețe noi, Yellow Cube vă sprijină pe termen lung.

[Luați legătura cu Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Sursa și domeniul de aplicare

Această versiune Markdown este generată din aceleași înregistrări aprobate ca pagina HTML canonică. Pentru citare, utilizați URL-ul canonic.