Qu'est-ce que Cross-site scripting (XSS) ?

Réponse : A. Les données du localStorage ne sont pas jointes automatiquement aux requêtes ; elles sont lues et écrites par le JavaScript des pages de la même origine

Le localStorage est un espace de stockage du navigateur qui conserve des clés et des valeurs sous forme de chaînes, par origine ; il n'a aucun mécanisme de date d'expiration et ses données restent généralement jusqu'à leur suppression. Elles ne sont pas envoyées automatiquement au serveur : pour les envoyer, le JavaScript les place dans une requête. Un cookie est petit, en général environ 4 KB au plus chacun, et il est envoyé automatiquement à chaque requête, alors que le localStorage peut contenir des données plus volumineuses. En revanche, le JavaScript de la page peut le lire à tout moment, si bien qu'une faille XSS permet d'en voler le contenu. Ce risque doit être pris en compte lorsqu'on y place des valeurs servant à l'authentification.

Réponse : B. Cross-site scripting (XSS). Échapper les caractères ayant une signification particulière, comme < et >, lors de la sortie des textes publiés en HTML

Le cross-site scripting (XSS) est une vulnérabilité dans laquelle une application web insère telle quelle la saisie d'un utilisateur dans le HTML, si bien qu'un script contenu dans cette saisie s'exécute dans le navigateur des visiteurs comme une partie de la page. Comme le script s'exécute en tant que page de ce site, il peut voler les informations de session du visiteur (cookies) ou afficher de faux champs de saisie. La contre-mesure fondamentale consiste à échapper les caractères ayant une signification particulière, comme <, >, & et les guillemets, selon l'endroit où ils sont produits (par exemple en convertissant < en &lt;), afin qu'ils s'affichent comme de simples caractères. Parmi les mesures complémentaires figurent l'attribut HttpOnly sur les cookies, pour que les scripts ne puissent pas les lire, et la restriction des scripts autorisés à s'exécuter au moyen d'une Content Security Policy. HTTPS protège le canal de communication et ne peut pas empêcher l'exécution d'un script incorporé dans une page légitime.