クロスサイトスクリプティング（XSS）とは、動的にWebページを生成するWebサイト（SNS、ブログ、掲示板など）の脆弱性を利用し、悪意のあるJavaScriptなどのスクリプトをページ内に埋め込む攻撃です。他のユーザーがそのページにアクセスした際、埋め込まれた不正なスクリプトが閲覧者のブラウザ上で勝手に実行されてしまいます。これにより、閲覧しているユーザーのクッキー情報（セッションID）が盗まれてアカウントが乗っ取られたり、画面の表示を書き換えられて別の偽サイトに誘導されたりする被害が発生します。

掲示板のコメント投稿欄に、普通の文章のふりをして「閲覧者のCookie情報を攻撃者に送信する」という内容のJavaScriptコードを投稿します。その投稿を別のユーザーがブラウザで表示した瞬間、裏でコードが実行され、セッション情報が盗まれてしまいます。

[攻撃者] --(不正スクリプトを投稿)--> [掲示板サーバー]\n                                          | (そのまま保存)\n[一般ユーザー] --(スレッドを閲覧)--> [ブラウザがスクリプトを実行] --> [Cookie情報が盗まれる]