مرورگر کوکی را همچنان با درخواست‌ها می‌فرستد، ولی document.cookie نمی‌تواند آن را بخواند؛ پس یک باگ XSS به‌سادگی کوکی نشست را نمی‌دزدد.