XSS reflejado
Variante de XSS en la que la carga maliciosa viaja en la URL o la petición y se "refleja" en la respuesta del servidor sin persistir. Requiere ingeniería social (un enlace de phishing) para dispararse. Frecuente en páginas de búsqueda y de error.
Vector clásico: example.com/search?q=<script>...</script>, donde la página de resultados muestra "Resultados para: <script>...</script>" sin escapar. El atacante envía la URL a la víctima, la víctima hace clic → el script se ejecuta dentro de la sesión del navegador de la víctima. Menos devastador que el XSS almacenado (afecta a una víctima concreta, no persiste), pero sigue siendo peligroso para tomar el control de una cuenta. Defensa: codificar en la salida toda entrada del usuario, CSP, validación de URLs. Los acortadores de URL modernos facilitan que los atacantes disimulen enlaces sospechosos. Mitigaciones de navegador: el XSS Auditor (obsoleto, eliminado en Chrome 78 por sus falsos positivos); CSP es la defensa actual.