Хранимая XSS
Разновидность XSS, при которой вредоносный скрипт сохраняется на сервере (в БД или файловой системе) и отдаётся всем последующим посетителям.
Самый опасный вид XSS: атака постоянна и бьёт по многим сразу. Классика — <script>exfiltrate(document.cookie)</script> в комментарии на форуме: каждый, кто откроет страницу, отдаёт свою сессию. Ярчайший пример — червь Samy на MySpace (2005), заразивший более миллиона профилей за 20 часов. Защита: фильтрация ввода на сервере, экранирование при выводе и CSP. Современные фреймворки (React, Vue) экранируют по умолчанию, что сильно сужает поверхность атаки.