Il contesto di attributo HTML è il punto in cui i dati dell'applicazione vengono inseriti all'interno del valore di un attributo HTML, come href, value o title. Questo contesto è più pericoloso del testo normale perché caratteri come virgolette, parentesi angolari e ampersand possono modificare il modo in cui il browser interpreta il markup. Se input non fidato viene scritto qui senza una codifica corretta, può uscire dall'attributo e alterare la struttura della pagina.
Questo è importante nella sicurezza web perché gli XSS riflessi e memorizzati spesso iniziano quando dati controllati dall'utente vengono renderizzati nel contesto sbagliato. In un attacco, un payload costruito ad arte può chiudere un attributo e iniettare un nuovo attributo o contenuto correlato a script. Le difese si basano su una codifica dell'output consapevole del contesto, una convalida rigorosa dell'input e template più sicuri che evitano di costruire manualmente stringhe HTML. Tratta ogni attributo come un confine di parsing: ciò che è sicuro nel contenuto testuale può non esserlo all'interno del valore di un attributo.