Le Cross-Site Scripting (XSS) consiste à faire exécuter du JavaScript malveillant dans le navigateur d'un autre utilisateur, en exploitant un contenu non échappé affiché dans une page. Il permet de voler des sessions ou d'agir au nom de la victime. On s'en protège par l'échappement et une politique CSP.
Exemple
Un commentaire contenant <script>…</script> affiché tel quel dans la page.