Recommandations

• Toujours échapper les entrées utilisateur avant de les afficher en HTML.
• Utiliser des moteurs de templates ou des frameworks avec échappement automatique.
• Assainir les entrées si vous autorisez le HTML (par exemple, avec DOMPurify).
• Éviter d'utiliser innerHTML avec des données utilisateur ; utiliser textContent à la place.
• Ne jamais faire confiance aux données stockées—les traiter comme non sûres à la sortie.

Impact

• Les attaquants peuvent voler les cookies de session des utilisateurs et détourner des comptes.
• Des scripts malveillants peuvent s'exécuter dans le navigateur de chaque utilisateur qui consulte la page infectée.
• Des données sensibles (jetons, informations personnelles) peuvent être extraites de la victime.
• Les attaquants peuvent effectuer des actions au nom des utilisateurs sans leur consentement.
• Les comptes administrateur peuvent être compromis s'ils consultent le contenu malveillant.