L'esportazione HTML è una funzionalità che converte i dati dell'applicazione in un documento HTML per la visualizzazione o l'archiviazione. È comune nei registri delle chat, nei report, nelle esportazioni di email e nei record di audit perché HTML è facile da aprire in un browser e può preservare layout, link e formattazione.
Nella sicurezza informatica, l'esportazione HTML è importante perché HTML non è testo inerte: i browser lo interpretano come codice. Se contenuti non attendibili vengono copiati nell'esportazione senza una corretta codifica contestuale, un attaccante può trasformare dati normali in markup o script eseguibile. Ciò può portare a XSS persistente quando qualcuno apre il file esportato. I difensori dovrebbero trattare i generatori di esportazione come modelli web, eseguire l'escape dei campi controllati dall'utente per il contesto HTML corretto, sanificare qualsiasi testo ricco consentito e testare con payload come parentesi angolari, virgolette e gestori di eventi inline.