التوصيات

• قم دائمًا بتأمين إدخال المستخدم قبل عرضه في HTML.
• استخدم محركات القوالب أو الأطر التي تقوم بالتأمين التلقائي.
• قم بتنقية الإدخال إذا كنت تسمح بـ HTML (على سبيل المثال، باستخدام DOMPurify).
• تجنب استخدام innerHTML مع بيانات المستخدم؛ استخدم textContent بدلاً من ذلك.
• لا تثق أبدًا بالبيانات المخزنة—تعامل معها على أنها غير آمنة عند الإخراج.

التأثير

• يمكن للمهاجمين سرقة ملفات تعريف الارتباط الخاصة بالجلسة واختطاف الحسابات.
• يمكن للبرامج النصية الخبيثة أن تعمل في متصفح كل مستخدم يشاهد الصفحة المصابة.
• يمكن استخراج البيانات الحساسة (الرموز، المعلومات الشخصية) من الضحية.
• يمكن للمهاجمين تنفيذ إجراءات نيابة عن المستخدمين دون موافقتهم.
• يمكن اختراق حسابات المسؤولين إذا شاهدوا المحتوى الخبيث.