Una catena di attacco JavaScript è una sequenza di passaggi in cui il codice eseguito da un browser contribuisce a portare avanti una compromissione. Lo script può interagire con una pagina, sfruttare i privilegi di una sessione autenticata o attivare azioni che provocano modifiche non autorizzate. Il termine descrive un ruolo svolto nell’attacco, non una vulnerabilità specifica né una garanzia che JavaScript, da solo, possa compromettere un sistema.
Questo è importante perché un browser può disporre di privilegi, ad esempio quelli di una sessione di amministratore autenticata. Se uno script malevolo riesce ad agire attraverso il contesto del browser, può contribuire a trasformare l’accesso esistente in modifiche lato server, che potrebbero includere l’installazione di codice persistente. Le misure di difesa comprendono la separazione della navigazione amministrativa dalle attività ordinarie, la limitazione della durata delle sessioni privilegiate e la protezione dei siti contro l’iniezione di script e altri contenuti non sicuri. Una catena segnalata non dovrebbe essere considerata prova di una specifica modalità di accesso iniziale o di una distribuzione nel mondo reale, a meno che ciò non sia stato verificato in modo indipendente.