Présentation des failles Cross-Site Scripting (XSS), qui permettent d’exécuter du JavaScript malveillant dans le navigateur d’un utilisateur. L’article distingue les attaques réfléchies, stockées et celles exploitant le DOM, puis détaille leurs conséquences et les protections à appliquer. Il illustre l’encodage des sorties selon leur contexte en PHP, l’usage de textContent plutôt que innerHTML en JavaScript, ainsi que le rôle complémentaire des politiques CSP et des attributs HttpOnly, Secure et SameSite sur les cookies.