クロスサイトスクリプティング（XSS）の種類を歴史から2026年まで完全整理

サイバー攻撃について

同研究では、当時の主要ブラウザーファミリーや複数のサニタイザーに影響する攻撃経路が示されました。

2017年：Script Gadgetの研究

Googleの研究者らは、Webアプリケーションに元から存在する正規JavaScriptを、攻撃用の部品として再利用するScript Gadgetを発表しました。

攻撃者が直接スクリプトタグを挿入しなくても、安全に見えるHTMLを既存コードに処理させ、最終的にコード実行へ到達する手法です。

2026年時点では、CSP Level 3とTrusted Typesの標準化が進められています。

CSP Level 3は2026年5月5日時点でWorking Draftです。Trusted Typesも2026年2月24日時点でWorking Draftであり、最終的なW3C Recommendationではありません。

Trusted Typesは、innerHTMLなどの危険なSinkへ、普通の文字列を直接渡せないようにする考え方です。

従来の防御が「入力を安全に加工する」ことを中心としていたのに対し、Trusted Typesは「危険なAPIへ未確認の文字列を渡させない」方向へ進化しています。