XSS (Cross-Site Scripting) — это уязвимость веб-приложений, позволяющая злоумышленнику внедрять вредоносный код (обычно JavaScript) в страницы, просматриваемые другими пользователями. **Типы XSS:** - **Reflected (отражённый)** — код внедряется через параметры URL и выполняется сразу. - **Stored (постоянный)** — вредоносный скрипт сохраняется на сервере (например, в комментариях). - **DOM-based** — атака происходит на стороне клиента без отправки данных на сервер. **Пример уязвимого кода (Flask):** ``` from flask import Flask, request, render_template_string app = Flask(__name__) @app.route('/') def home(): name = request.args.get('name', 'Guest') return render_template_string(f"<h1>Hello, {name}!</h1>") ``` Если передать `?name=<script>alert('XSS')</script>`, выполнится JS-код. **Защита:** - Экранирование данных (например, `escape()` в Jinja2). - Использование Content Security Policy (CSP). - Валидация и санитизация ввода.