Il cross-site scripting memorizzato si verifica quando un’applicazione salva contenuti controllati da un aggressore e in seguito li visualizza in modo tale da indurre un browser a eseguirli come script. Il payload può essere memorizzato in un post, un commento, un campo del profilo o altri dati dell’applicazione, e quindi può colpire le persone che visualizzano il contenuto in un secondo momento.
Negli attacchi reali, un attacco XSS riuscito può consentire allo script di agire nel contesto del browser del sito interessato, esponendo potenzialmente i dati di sessione o eseguendo azioni come se fosse l’utente che visualizza la pagina, a seconda delle protezioni del browser e della progettazione dell’applicazione. Le funzionalità di gestione dei contenuti sono aree a rischio frequenti. Le difese includono la convalida e la sanitizzazione degli input, la codifica dell’output in base al contesto specifico, l’applicazione di controlli di accesso adeguati e l’uso di una Content Security Policy come misura di protezione aggiuntiva. Gli operatori dei siti dovrebbero installare gli aggiornamenti di sicurezza che correggono le vulnerabilità XSS memorizzate.