وقتی رخ میدهد که ورودی غیرقابلاعتماد بدون escape مناسبِ جایی که در آن قرار میگیرد داخل صفحه نوشته شود. دفاع اصلی output encoding وابسته به زمینه است و Content Security Policy لایهی دوم.
XSS
Cross-site scripting: متنی که مهاجم کنترل میکند در مرورگر کاربر دیگر بهعنوان HTML یا JavaScript اجرا میشود.