Un atacante puede inyectar código HTML o Javascript en una aplicación que no tenga una validación al momento de enviar la información. Esta vulnerabilidad tiene la particularidad que se ejecuta el código en el momento que el usuario ingresa al sitio.