DOM-Based XSS

Eine Form von Cross-Site Scripting, bei der die Schwachstelle im Client-seitigen JavaScript liegt und durch das DOM ausgelöst wird. Bei DOM-Based XSS erfolgt das Einschleusen und Ausführen von Schadcode allein durch unsichere DOM-Manipulationen, ohne dass bösartige Daten über den Server reflektiert werden. Ein typisches Beispiel ist das direkte Auslesen von URL-Parametern mit location.hash oder document.URL und anschließendes Einfügen in das DOM über innerHTML oder eval(). Der Server bleibt unbeteiligt; sämtliche Exploits passieren clientseitig. Schutzmaßnahmen umfassen striktes Escaping von Daten vor DOM-Injektionen, Verzicht auf eval-basierte Methoden und Einsatz von Trusted Types in modernen Browsern, welche verhindern, dass unsanitized Werte an gefährliche APIs übergeben werden.