XSS armazenado
Variante de XSS em que o script malicioso fica armazenado permanentemente no servidor (banco de dados, sistema de arquivos) e é servido a todos os visitantes seguintes. O tipo mais perigoso de XSS por conta da persistência e do alcance. Fóruns, seções de comentários e perfis de usuário são alvos clássicos.
Exploit clássico: colocar <script>exfiltrate(document.cookie)</script> em um comentário de fórum → é exibido para todos os usuários → sequestra sessões. Diferente do XSS refletido (que é descartável, por URL). Caso real: o Samy Worm do MySpace (2005) — um XSS viral que se espalhou para mais de 1 milhão de contas em 20 horas. Defesa: sanitização de entrada no servidor + escape na saída + CSP. Frameworks modernos (React, Vue) escapam por padrão → reduzem a superfície de ataque. Ganho típico de um XSS bem-sucedido: roubar cookie/localStorage, redirecionar para phishing, cryptojacking.