Os registros do Common Weakness Enumeration (CWE) estão se tornando uma base de conhecimento valiosa sobre exposição a vulnerabilidades. Dentre os 25 pontos fracos de softwares, qu

Gabarito

A

Comentário do professor

DOM-Based XSS é uma variante de cross-site scripting em que a vulnerabilidade existe no código JavaScript que manipula o DOM do navegador. A carga maliciosa não precisa passar pelo servidor: ela é introduzida e executada inteiramente no lado do cliente.

Em ataques desse tipo, o HTML e a resposta do servidor podem ser idênticos; o exploit só aparece quando o script do navegador processa valores do ambiente (URL, location.hash, document.referrer, etc.) e os injeta no DOM sem validação.

Os pontos mais sensíveis são os chamados sinks — por exemplo innerHTML, document.write, eval e inserções em atributos — quando recebem dados não sanitizados.

O impacto inclui execução de script no contexto da vítima, roubo de cookies e tokens, e alteração da interface. Para mitigação, recomenda-se escapar/encodar dados antes de inserir no DOM, evitar sinks perigosos, usar APIs seguras e aplicar CSP e práticas de validação/encoding no cliente.