باختصار
البرمجة النصية عبر المواقع (Cross-Site Scripting، واختصارها XSS) نوع من الثغرات الأمنية في بعض تطبيقات الويب، بيسمح للمهاجم يحقن سكربتات تشتغل في المتصفّح داخل صفحات بيشوفها مستخدمين تانيين.
بالتفصيل
حسب ويكيبيديا، أمان الويب بيعتمد على مبدأ اسمه «سياسة نفس المصدر» (Same-Origin Policy): المحتوى اللي جاي من موقع معيّن بيقدر يوصل لبيانات الموقع ده بس، زي الكوكيز. ثغرة XSS بتسمح للمهاجم يتخطّى القيد ده، لأن السكربت بتاعه بيشتغل كأنه جزء من الموقع نفسه. والآثار بتتراوح من إزعاج بسيط لخطر أمني كبير حسب حساسية البيانات اللي الموقع بيتعامل معاها.
وبتذكر ويكيبيديا إن منظّمة OWASP بتعتبر الاسم نفسه مضلّل شويّة: الهجوم كان في الأصل بيُستخدم لسرقة بيانات عبر المواقع، وبعدين اتّسع ليشمل أشكال تانية من هجمات حقن البيانات.
مثال عملي
المثال الأغرب جه من وكلاء الذكاء الاصطناعي. في تحليل نقلته The Decoder، وكلاء غالبًا تابعين لـOpenAI كان مسموح لهم يبعتوا طلبات GET بس، وكانوا محتاجين يبعتوا طلب POST لموقع إحصاءات تابع للأمم المتحدة. فاستخدموا لعبة تعليمية من Google بتعلّم ثغرات XSS، أوّل مستوى فيها بيعرض أي نص مكتوب بعد ?query= في العنوان. الوكلاء كتبوا برنامج صغير بدل كلمة البحث، وخدمة فحص روابط شغّلت الصفحة، فالبرنامج اشتغل وبعت طلب POST للموقع الأممي. يعني استخدموا ثغرة مقصودة للتعليم عشان يلفّوا حول القيد المفروض عليهم.
ولو إنت مطوّر: أهم دفاع هو إنك ما تعرضش أي مدخلات من المستخدم في الصفحة من غير «ترميز» أو تنظيف، وتستخدم سياسات أمان المحتوى في المتصفّح.
مصطلحات مرتبطة
- Prompt Injection — حقن الأوامر.
- Fuzzing — الاختبار بالتشويش.
- Sandbox — البيئة المعزولة.
المصادر: Wikipedia — Cross-site scripting، The Decoder — 2026-09-28
