Reflected XSS (odbity)
Odmiana XSS, w której złośliwy ładunek siedzi w adresie URL lub żądaniu i jest „odbijany” w odpowiedzi serwera bez zapisywania. Wymaga socjotechniki (linku phishingowego). Typowa dla stron wyszukiwania i stron błędów.
Klasyczny wektor: example.com/search?q=<script>...</script>, gdzie strona wyszukiwania wypisuje „Wyniki dla: <script>...</script>” bez escapowania. Atakujący wysyła ofierze adres, ofiara klika → skrypt wykonuje się w jej sesji w przeglądarce. Jest mniej groźny niż stored XSS (działa na jedną ofiarę, nie utrzymuje się), ale wciąż wystarcza do przejęcia konta. Obrona: kodowanie wyjścia dla każdych danych od użytkownika, CSP, walidacja URL-i. Skracacze linków ułatwiają ukrywanie podejrzanych adresów. Z zabezpieczeń przeglądarek: XSS Auditor został wycofany (usunięty w Chrome 78 — fałszywe alarmy), dziś obroną jest CSP.