78 600 000 000
gemiusAdReal, badanie cross-mediowe rynku reklamowego w Polsce, sierpień 2026
Gemius09/2026Polska
Wstrzyknięcie skryptu, który wykona się w przeglądarce innego użytkownika. Pozwala przejąć jego sesję, podmienić treść strony albo przekierować go gdzie indziej.
Po co to komu
Atakujący nie musi mieć dostępu do serwera. Wystarczy, że administrator otworzy stronę z jego skryptem — i sesja administratora staje się jego.
Czego brakuje bez tego
Bez ucieczki znaków przy wypisywaniu treści od użytkownika każdy formularz jest wejściem. Ten sam błąd dotyczy tekstów generowanych przez model AI.
Kiedy się tego używa
Przy wypisywaniu na stronie czegokolwiek, co przyszło z zewnątrz — także z API i od modelu.
Jak tego używamy
Trwały XSS siedzi w bazie (komentarz, profil) i wykonuje się każdemu, kto obejrzy stronę — najgroźniejsza odmiana.
Liczby, które warto znać