[攻撃者] --(不正スクリプトを投稿)--> [掲示板サーバー]\n                                          | (そのまま保存)\n[一般ユーザー] --(スレッドを閲覧)--> [ブラウザがスクリプトを実行] --> [Cookie情報が盗まれる]

もう少し詳しく

クロスサイトスクリプティング（XSS）は、攻撃対象がWebサーバーではなく、「そのWebサイトを利用している一般のユーザー（クライアント端末のブラウザ）」であるという点が大きな特徴です。Webページに悪意あるHTMLタグやJavaScriptプログラム（スクリプト）が意図せず埋め込まれ、それを閲覧したユーザーのブラウザ上で自動的に実行されてしまいます。XSSは、その伝播方法によって大きく以下の3つのタイプに分けられます。