Gde se čuva kolačić od sajta na kompu?

@Deunan

Ekstra! Ja sam bukvalno skroz zaboravio za HttpOnly. Bonus je i Secure flag, onda će biti dostupni samo serveru i samo na https:// :) Dobijaš +1 internet cookie :P

BTW, što se tiče tih propusta sa XSS, ima ih dosta, neki link je na svom sajtu (mikicaivosevic.info) napisao par komada, npr.

http://mikicaivosevic.info/201...agrada-od-5000---hall-of-fame/ (google.com, doduše Google ima HttpOnly i Secure odavno, ali eto moglo je drugačije štete biti)
https://mikicaivosevic.info/20...do---multiple-vulnerabilities/
http://mikicaivosevic.info/201...-od-1000-dinara-od-donesi.com/
http://mikicaivosevic.info/201...rs---cross-site-scripting-xss/
http://mikicaivosevic.info/201...-multiple-xss-vulnerabilities/
http://mikicaivosevic.info/2018/04/prva-srpska-televizija---xss/
https://mikicaivosevic.info/20...-multiple-xss-vulnerabilities/ (ebay.com)

Proverio sam, ima ga na Google Hall of Fame i eBay Hall of Fame, ovi domaći sajtovi su raspad i to nemaju.

Svejedno, XSS propusti su veoma rasprostranjeni po sajtovima i aplikacijama, i zbog toga se treba zaštititi.

Scenario koji sam ja opisao nije uopšte nemoguć, zapravo se takve stvari redovno dešavaju.

Zaštita je jednostavna -- kao što je Deunan rekao, HttpOnly i Secure.