Glosario de ciberseguridad
Què és un atac XSS?
Cross-Site Scripting (XSS) és una vulnerabilitat web que permet a un atacant injectar codi JavaScript maliciós en una pàgina de confiança. Quan altres usuaris la visiten, el navegador executa el codi de l'atacant amb els mateixos permisos que el del lloc legítim.
Tipus de XSS
- Reflectit: el codi viatja a la URL i es retorna sense escapar.
- Emmagatzemat: el payload queda guardat (comentaris, perfils) i afecta cada visitant.
- DOM-based: la manipulació ocorre íntegrament al client.
Què pot fer un atacant amb XSS
- Robar cookies de sessió i suplantar la víctima.
- Capturar credencials amb formularis falsos sobre la pàgina real.
- Redirigir a llocs maliciosos o executar accions en nom de l'usuari.
- Distribuir malware des del navegador.
Com es preveu un atac XSS
- Escapar i codificar tota sortida segons el context.
- Validar entrades al servidor amb llistes blanques.
- Aplicar Content Security Policy (CSP).
- Marcar les cookies de sessió com
HttpOnlyiSecure. - Usar frameworks que escapen per defecte (React, Vue).