Le XSS (Cross-Site Scripting) permet à un attaquant d'injecter du code (souvent JavaScript) qui s'exécute dans le navigateur d'autres utilisateurs de la page. Conséquences possibles : vol de session, redirection, défiguration ou hameçonnage.
Protection : échapper systématiquement les sorties, valider les entrées et déployer une politique Content-Security-Policy stricte.
Voir aussi : CSRF, failles web fréquentes.