XSS persistente
Variante di XSS in cui lo script malevolo viene memorizzato in modo permanente sul server (database, filesystem) e servito a tutti i visitatori successivi. È il tipo di XSS più pericoloso, per persistenza e ampiezza. Forum, sezioni commenti e profili utente sono i bersagli classici.
Exploit classico: inserire <script>exfiltrate(document.cookie)</script> in un commento del forum → viene mostrato a tutti gli utenti → sessioni dirottate. Diverso dall'XSS riflesso (monouso, legato a un URL). Caso reale: il Samy Worm di MySpace (2005), un XSS virale che in 20 ore raggiunse oltre un milione di account. Difesa: sanificazione dell'input lato server + codifica in output + CSP. I framework moderni (React, Vue) fanno l'escape per impostazione predefinita e riducono la superficie d'attacco. Con un XSS di questo tipo si può copiare cookie e localStorage, reindirizzare verso pagine di phishing o fare cryptojacking.