Il Cross-Site Scripting memorizzato (stored XSS) si verifica quando un'applicazione salva input controllato dall'attaccante e in seguito lo renderizza per altri utenti come parte di una pagina, di un report, di un messaggio o di una console di amministrazione. Poiché il payload viene archiviato sul lato server, ogni visualizzatore del contenuto interessato può essere esposto, non solo il bersaglio originale. Lo script iniettato viene eseguito nel browser della vittima nel contesto del sito affidabile, il che può consentire a un attaccante di rubare dati di sessione, eseguire azioni come se fosse l'utente o modificare ciò che l'utente vede.
Questo è importante per la sicurezza perché lo stored XSS spesso si insinua in flussi di lavoro ad alta fiducia come sistemi di ticketing, strumenti di gestione dei contenuti e interfacce di gestione dei dispositivi. Gli attaccanti in genere cercano campi che vengono mostrati in un secondo momento senza una corretta codifica dell'output o sanitizzazione. I difensori riducono il rischio convalidando l'input, escapando l'output per il contesto corretto, usando politiche di sicurezza dei contenuti e trattando le pagine rivolte agli amministratori come particolarmente sensibili. Qualsiasi funzionalità che salva e riproduce testo dell'utente dovrebbe essere esaminata come un potenziale canale di consegna per l'iniezione persistente di script.