I. executa no cliente web um código malicioso que, necessariamente, está armazenado no servidor acessado; II. explora vulnerabilidades relacionadas à falta de validação dos dados de entrada do usuário em uma página web; III. serve de base técnica para a realização de ataques como o SQL Injection e Script Injection.