// Glossario IT
Cross-Site Scripting (XSS)
Una vulnerabilità che permette di iniettare codice JavaScript malevolo in una pagina web visualizzata da altri utenti.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Il Cross-Site Scripting (XSS) sfrutta un'applicazione web che non filtra correttamente l'input fornito dall'utente prima di mostrarlo ad altri visitatori, permettendo a un attaccante di iniettare codice JavaScript che verrà eseguito nel browser di chi visualizza la pagina compromessa, con gli stessi privilegi della sessione di quella vittima.
Perché conta
Un attacco XSS riuscito può rubare i cookie di sessione, reindirizzare l'utente verso siti fraudolenti o modificare il contenuto della pagina che sta visualizzando, tutto senza che l'utente noti nulla di anomalo nell'URL che sta visitando. Convalidare e sanificare correttamente ogni input mostrato ad altri utenti resta la difesa fondamentale, insieme a intestazioni di sicurezza come Content-Security-Policy.