• HTML でレンダリングする前に、ユーザー入力を必ずエスケープしてください。
• 自動エスケープを行うテンプレートエンジンまたはフレームワークを使用してください。
• HTML を許可する場合は、入力をサニタイズしてください（例: DOMPurify を使用）。
• ユーザーデータで innerHTML を使用せず、代わりに textContent を使用してください。
• 保存されたデータを決して信頼せず、出力時には安全でないものとして扱ってください。

影響

• 攻撃者はユーザーのセッション Cookie を盗み、アカウントを乗っ取ることができます。
• 感染したページを閲覧するすべてのユーザーのブラウザで、悪意のあるスクリプトが実行される可能性があります。
• 被害者から機密データ（トークン、個人情報）が抽出される可能性があります。
• 攻撃者はユーザーの同意なしに、ユーザーに代わって操作を実行できます。
• 管理者アカウントは、悪意のあるコンテンツを閲覧した場合に侵害される可能性があります。