O sistema aceita dados enviados pelo usuário sem validação adequada e os exibe no navegador de outras pessoas. Isso permite a execução de scripts maliciosos (como JavaScript).

Roubo de sessões, sequestro de contas e clonagem de páginas legítimas.