DEFINITION
공격자가 게시글, 댓글, 프로필 같은 입력값에 악성 스크립트를 넣고, 다른 사용자의 브라우저에서 실행되게 만드는 웹 취약점이다. React처럼 기본적으로 문자열을 이스케이프하는 프레임워크를 써도, dangerouslySetInnerHTML, Markdown/HTML 렌더러, 외부 위젯 삽입을 잘못 쓰면 XSS가 생길 수 있다. 바이브 코딩에서는 AI가 빠른 표시를 위해 HTML을 그대로 렌더링하는 코드를 제안할 수 있으므로, 사용자 입력은 정화(sanitize)하고 필요한 태그만 허용해야 한다.
ENGLISH
XSS (Cross-Site Scripting)
EXAMPLE
Q&A 답변이나 댓글을 Markdown으로 보여줄 때 원문 HTML을 그대로 넣지 않는다. 렌더러에서 script 태그와 이벤트 속성을 제거하고, 링크에는 안전한 프로토콜만 허용하는지 테스트한다.
NOTES
AI가 생성한 public renderer를 검토할 때 가장 먼저 확인해야 하는 취약점 중 하나다.
REFERENCE
owasp.org/www-community/attacks/xss