> For the complete documentation index, see [llms.txt](https://b4zh.gitbook.io/b4zh/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://b4zh.gitbook.io/b4zh/xss-stored.md).

# XSS - STORED

{% embed url="<https://www.youtube.com/watch?v=iAZsBOXtyDg>" %}

En el caso de la máquina NAHAMSTORE, al momento de enviar una petición por POST para hacer una orden de un pedido, en la cabecera USER-AGENT podemos inyectar código malicioso, ya que en este caso el valor de dicha cabecera se almacena en algún lugar de la base de datos y se muestra en el frontend, por lo que cada vez que el usuario ingresa al nuevo endpoint creado, nuestra XSS injection le dara la bienvenida.

```http
...
User-Agent: Pepo<script>alert('Bienvenido amigo')</script>
...
```