したがって、問題の中心は「Webのすべてのプロトコルが文字列を自動実行すること」ではありません。
信頼できない文字列を、実行能力を持つAPIへ渡す設計が問題です。
OWASPのアプリケーションセキュリティ史では、1999年にMicrosoftのエンジニアが「Cross Site Scripting」という用語を作ったと整理されています。
当時は、別サイトの内容やスクリプトを信頼されたサイトへ注入し、サイト間の境界を悪用する攻撃が中心でした。
現在のXSSは、必ずしも複数サイトをまたぎません。
OWASPも、現在では名称の意味が広がり、さまざまなコンテンツ注入を含む言葉になったと説明しています。
OWASP Top 10の最初の版は2003年に公開されました。XSSは、Webアプリケーションで優先的に対処すべき問題として広く認識されるようになりました。
なお、「2000年にXSSが公式な学術・実務体系へ組み込まれた」という明確な区切りは、今回確認した一次資料では裏付けられませんでした。
そのため、本記事では2000年を正式な分類確立年とは断定しません。