XSS
Wenn ein Angreifer JavaScript-Code in eine Seite einschleust, sodass ihn andere Nutzer ausführen.
Klassiker: ein Kommentarfeld, in das jemand <script>cookies-klauen()</script> schreiben kann. Lädt der nächste Besucher die Seite, läuft der Code in seinem Browser — Session-Cookies werden gestohlen, Formulare mitgeschnitten, und so weiter.
Lösung: Nutzereingaben vor der Anzeige immer escapen (< wird zu <, damit es als Text und nicht als Tag gerendert wird). Moderne Frameworks machen das automatisch; einfaches, altes PHP nicht.