鳩丸ぐろっさり (用語集)

クロスサイトスクリプティング脆弱性の中でも、特に、ターゲットのサイトにスクリプトが持続的に埋め込まれ、効果が永続するタイプのもの。一般的には "XSS type2" と呼ばれたりするようですが、数字で言われても分かりにくいので、このサイトでは「持続型」と呼ぶことにしています。"stored XSS" とも呼ばれるようです。

ユーザが入力した内容をサイトに表示する機能があり、その表示の処理に不具合がある場合にこの問題が発生します。反射型XSSと大きく異なるのは、サイトに訪れた全てのユーザに対してスクリプトが実行されるという点です。罠サイトや罠メールを経由する必要がなく、普通にサイトを訪れたユーザが被害に遭います。そのため、反射型に比べて脅威は大きなものとなります。

実際に過去に被害にあった例としては、「予告.in」の事件が知られています。

※よくよく考えると、「クロスサイト」というのは「攻撃者のサイトに埋め込まれたスクリプトがターゲットのサイト上で実行される」というところに由来していますので、罠サイトを必要としないこのタイプの問題を「クロスサイト……」と呼ぶのは妥当ではないのかも知れません。が、まあ原理や現象は似ていますし、そこにはあまりこだわらなくても良いのかなと思っています。