XSS-árás verður þegar vefforrit birtir inntak frá notanda án þess að umrita það. Árásaraðili setur þá inn forskrift, t.d. í athugasemd eða leitarstreng, sem keyrir í vafra þeirra sem skoða síðuna. Þannig má stela innskráningu, breyta efni síðunnar eða framkvæma aðgerðir í nafni notandans.
Helstu varnir eru að umrita allt úttak sem kemur frá notendum, staðfesting inntaks og öryggisstefna fyrir efni (Content Security Policy). Vefumgjarðir eins og React umrita texta sjálfkrafa, en leiðir framhjá þeirri vörn geta opnað fyrir árásina aftur.