Bei einer Webanwendung oder Webseite entstehen genau dann potentielle Sicherheitslücken, wenn von einem Webseitenbesucher Eingaben gefordert sind. Genau auf diese Eingabemöglichkeit hat es ein Cross-Site-Scripting-Angreifer abgesehen.

Bei einer temporären Unterbringung (nicht gespeicherter Code) hingegen wird ein präparierter Link exklusiv für einen Benutzer auf einer Anmeldeseite eingebunden. Das schadhafte Skript ist auf einem fremden Server lokalisiert und aktiviert sich sobald ein Button, ein Foto oder eine Verlinkung angeklickt oder nur die Suchfunktion genutzt wird (also eine http-Anfrage gestellt und http- Antwort erwartet wird).

Der aktivierte präparierte Link wird vom Browser als ausführbarer Code interpretiert und liest so Cookies aus. Im Cookie sind unterschiedlichste Informationen enthalten, die die Nutzung der Webseiten für ihre Anwender angenehmer machen soll, zum Teil auch Benutzername. Darüber hinaus können durch den präparierten Link auch Keylogger installiert werden, welche die Tastatureingaben des Benutzers aufzeichnen. Diese aufgezeichneten Daten werden dann dem Angreifer, z. B. via E-Mail, übermittelt. So verschafft sich dieser Zugang zu den Daten des Benutzers, um z. B. seine Benutzerkonten zu übernehmen. Der Benutzer bleibt über dieses Geschehen uninformiert.

Der Angreifer könnte mit den Skripten unbemerkt die Identität des Nutzers stehlen und sich so als „authentifizierter Nutzer“ auf dem Webangebot bewegen und unter Umständen kostenpflichtige Dienste nutzen, die nachher dem Opfer in Rechnung gestellt werden.