格納型XSS
悪意あるスクリプトがサーバー（DBやファイルシステム）に恒久的に保存され、以後のすべての訪問者に配信されるXSS。持続性と被害の広さから、XSSの中で最も危険とされる。
典型的な手口は、掲示板のコメントに <script>exfiltrate(document.cookie)</script> を書き込むもの。閲覧した全員のセッションが乗っ取られる。URLごとに一度きりの反射型XSSとは異なる。実例は2005年のMySpaceのSamyワームで、20時間で100万以上のアカウントに広がった。対策はサーバー側の入力検証、出力エンコード、CSPである。ReactやVueなど現代のフレームワークはデフォルトでエスケープするため、攻撃面は狭まっている。