Lo XSS zero-click è una vulnerabilità di cross-site scripting che esegue JavaScript malevolo senza che la vittima debba cliccare un link, aprire un prompt separato o in altro modo attivare deliberatamente il payload. Di solito si manifesta quando un'applicazione memorizza contenuti controllati dall'attaccante e in seguito li visualizza in un contesto del browser con una sanitizzazione insufficiente.
Questo è importante perché lo XSS può rubare i cookie di sessione, riscrivere il contenuto della pagina, esfiltrare dati o eseguire azioni come se fosse l'utente. Nella webmail e in altre app con contenuti ricchi, il comportamento zero-click è particolarmente pericoloso: basta semplicemente visualizzare l'anteprima di un messaggio, una voce della rubrica o HTML incorporato per attivare il payload durante l'uso normale. Le difese includono una codifica rigorosa dell'output, una sanitizzazione HTML robusta, una policy di sicurezza dei contenuti e la riduzione o l'isolamento dei contenuti attivi. Lo XSS memorizzato è spesso più difficile da individuare dello XSS riflesso perché l'input malevolo può restare inattivo finché una visualizzazione successiva non lo carica.