Podatność pojawia się w momencie, gdy serwis nie jest w stanie walidować wprowadzanych danych. Wtedy właśnie można wprowadzić dowolny kod javascript.
Jest to poważny problem, choć jego potencjalne implikacje dopiero są rozważane. Trzeba jednak uświadomić sobie, że ten sposób ataku nie pozwala na włamanie do samego serwera. Atakujący mogą natomiast przejąć kontrolę nad interakcją pomiędzy użytkownikiem a stroną internetową. W tym momencie najbardziej niebezpiecznym scenariuszem jest taki, w którym atakujący zmienia wygląd strony wyświetlanej przed oczami niczego nie spodziewającej się ofiary.
