XSS
Wanneer een aanvaller JavaScript-code in een site smokkelt, zodat andere bezoekers die code zelf uitvoeren.
Het klassieke voorbeeld: een reactieveld waarin iemand <script>steal-cookies()</script> kan plaatsen. Laadt de volgende bezoeker de pagina, dan draait de code in diens browser — sessiecookies gestolen, formulieren afgeluisterd, enzovoort.
Oplossing: invoer van gebruikers altijd escapen voordat die wordt getoond (< wordt <, zodat het als tekst verschijnt en niet als tag). Moderne frameworks doen dit vanzelf; ouderwets PHP niet.