Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. Um ataque de XSS (cross-site scripting) não tem como alvo direto o próprio aplicativo, mas sim os usu

Gabarito

Certo

Comentário do professor

XSS é julgada como certa porque o código injetado é executado no navegador do usuário, não no servidor. O atacante explora a confiança entre o navegador e a origem do site para fazer o browser executar scripts maliciosos que afetam a experiência e os dados do usuário.

Existem variantes como stored, reflected e DOM XSS. Em todas, o próprio aplicativo atua como vetor de injeção: ele aceita entrada maliciosa e a devolve ao cliente de forma insegura, permitindo que o script roube cookies, session tokens, capture credenciais, realize ações em nome do usuário ou redirecione para sites fraudulentos.

Logo, o alvo direto são os usuários; o aplicativo é o meio. Contra XSS recomenda-se validação de entrada, codificação de saída, políticas como Content Security Policy e flags de segurança como HttpOnly em cookies.