---
title: "XSS"
description: "XSS to atak polegający na wstrzyknięciu złośliwego skryptu do strony wyświetlanej innym użytkownikom. Zobacz, jak działa i jak się przed nim bronić."
url: "https://nodea.pl/pl/slownik-pojec/xss"
lang: "pl"
updated: "2026-07-13"
---

# XSS

> XSS (Cross-Site Scripting) to podatność, w której atakujący wstrzykuje złośliwy skrypt do strony, wykonywany następnie w przeglądarkach innych użytkowników.

**XSS** (ang. *Cross-Site Scripting*) to jedna z najczęstszych podatności aplikacji webowych. Polega na wstrzyknięciu złośliwego kodu, najczęściej w [JavaScript](https://nodea.pl/pl/slownik-pojec/javascript), do treści strony, która następnie zostaje wyświetlona i wykonana w przeglądarce innego, niczego nieświadomego użytkownika. Skrypt działa w kontekście zaufanej witryny, więc może wykraść ciasteczka sesji, przechwycić dane z formularzy albo wykonać operacje w imieniu ofiary.

## Rodzaje XSS

Wyróżnia się trzy główne odmiany. XSS przechowywany (stored) zapisuje ładunek na serwerze — np. w komentarzu — i atakuje każdego, kto otworzy zainfekowaną stronę. XSS odbity (reflected) przekazuje ładunek w adresie URL i uruchamia się, gdy ofiara kliknie spreparowany link. XSS oparty na DOM manipuluje stroną wyłącznie po stronie przeglądarki. We wszystkich przypadkach źródłem problemu jest zaufanie do niezweryfikowanych danych wejściowych.

## Ochrona

Skuteczna obrona łączy kilka warstw. Kluczowe jest kodowanie danych wyjściowych odpowiednio do kontekstu (HTML, atrybut, JavaScript) oraz walidacja wejścia. Nagłówek Content-Security-Policy ogranicza, skąd przeglądarka może ładować i wykonywać skrypty, a oznaczanie ciasteczek jako HttpOnly utrudnia ich kradzież. Transmisja po [HTTPS](https://nodea.pl/pl/slownik-pojec/https) chroni dane w drodze, a [firewall aplikacyjny](https://nodea.pl/pl/slownik-pojec/firewall) (WAF) może odfiltrować typowe wzorce ataków. XSS bywa łączony z innymi technikami, np. [CSRF](https://nodea.pl/pl/slownik-pojec/csrf), dlatego bezpieczeństwo aplikacji należy traktować całościowo, a nie jako pojedynczą łatkę. Regularne testy bezpieczeństwa i aktualizowanie zależności to praktyki, które pozwalają wychwycić podatności typu XSS, zanim trafią na produkcję i zostaną wykorzystane przez atakujących.

### Jak zabezpieczyć się przed XSS?

Podstawą jest walidacja danych wejściowych oraz kodowanie danych wyjściowych (escaping) w kontekście, w którym są wyświetlane. Pomaga też nagłówek Content-Security-Policy ograniczający, skąd mogą pochodzić wykonywane skrypty.

## Powiązane

- [CSRF](https://nodea.pl/pl/slownik-pojec/csrf)
- [SQL injection](https://nodea.pl/pl/slownik-pojec/sql-injection)
- [Firewall](https://nodea.pl/pl/slownik-pojec/firewall)
- [HTTPS](https://nodea.pl/pl/slownik-pojec/https)

---

Wersje językowe: [en](https://nodea.io/en/glossary/xss.md)  
Spis treści witryny: [llms.txt](https://nodea.pl/pl/llms.txt)