loc. Aussi appelé XSS, ce type d'attaque exploite les vulnérabilités de page web dynamiques (écrites en PHP, ASP ou JSP) insuffisamment contrôlées en entrée. Par exemple, un cookie normalement utilisé pour identifier un utilisateur sur un site web amène l'internaute sur un lien hypertexte piégé (un autre serveur web), contrôlé par un pirate. Ce dernier récupère alors le cookie, ce qui lui permet de se connecter sur le système cible sous l'identité de sa victime.