クロスサイトスクリプティング（XSS）の種類を歴史から2026年まで完全整理

はじめに

クロスサイトスクリプティング、通称XSSは、古くから存在するWeb脆弱性です。

しかし、XSSを「反射型・格納型・DOM型の3種類」とだけ覚えると、現代のWebアプリケーションを正しく評価できません。

SPA、WebSocket、ブラウザー内テンプレート、SVG、WebView、ブラウザー拡張機能などが普及したことで、攻撃経路は大きく広がりました。

現代のXSSには、次のようなものがあります。

• Mutation XSS

• Blind XSS

• Script Gadget

• DOM Clobbering

• Prototype Pollutionから到達するXSS

• Client-Side Template Injection

• postMessageやWebSocketを経由するDOM XSS

• ブラウザーや拡張機能そのものを狙うUniversal XSS

本記事では、XSSの黎明期から2026年時点の分類までを整理します。

単なる用語集ではありません。

「何が起きるのか」「自分のシステムに関係するか」「なぜ発生するか」「どう確認するか」「どう直すか」「どう再発を防ぐか」の順で解説します。

結論・要点

XSSは、次の4つの軸を分けて考えると理解しやすくなります。