Opgeslagen XSS
XSS-variant waarbij het kwaadaardige script permanent op de server wordt opgeslagen (database, bestandssysteem) en aan alle volgende bezoekers wordt geserveerd. Door persistentie en bereik de gevaarlijkste XSS-soort. Forums, reactiesecties en gebruikersprofielen zijn klassieke doelwitten.
Klassieke exploit: zet <script>exfiltrate(document.cookie)</script> in een forumreactie, die aan alle gebruikers wordt getoond en sessies kaapt. Anders dan gereflecteerde XSS (eenmalig per URL). Praktijkvoorbeeld: de Samy-worm op MySpace (2005), een virale XSS die zich in 20 uur naar meer dan een miljoen accounts verspreidde. Verdediging: server-side invoersanering, uitvoerencoding en CSP. Moderne frameworks (React, Vue) escapen standaard en verkleinen het oppervlak. Wat een aanvaller kan buitmaken: cookies en localStorage uitlezen, doorsturen naar phishing, cryptojacking.