クロスサイトスクリプティング（XSS）は、Web ページの入力欄などに悪意のスクリプト（JavaScript）を注入し、訪問者のブラウザで実行させる攻撃です。
| 種類 | 内容 |
|---|---|
| 反射型 | URL に仕込み、その場で実行 |
| 蓄積型 | 掲示板等に保存し閲覧者全員に影響 |
| DOM ベース | ブラウザ側の処理を悪用 |
たとえば掲示板の投稿欄に悪意のスクリプトを書き込み、閲覧者のクッキー（セッション情報）を盗んでなりすますような攻撃です。対策は出力時のエスケープ・CSP・HttpOnly クッキーです。
試験では XSS が「Web に悪意のスクリプトを注入し、訪問者のブラウザで実行させる攻撃」で、対策が出力エスケープである点が問われます。CSRFとの混同に注意。
