L'esecuzione di codice lato client avviene quando codice influenzato dall'attaccante viene eseguito su una postazione dell'utente finale o su un client applicativo invece che su un server. Il codice può essere avviato tramite un file creato ad hoc, uno script, un plugin o una funzionalità di un documento che il client è previsto interpreti. Vulnerabilità nei parser, nei gestori di script e nella convalida non sicura dell'input possono trasformare contenuti ordinari in comportamento eseguibile.
Questo è importante perché i sistemi client spesso hanno accesso diretto dell'utente, credenziali memorizzate nella cache e connettività di rete verso ambienti sensibili. In pratica, gli attaccanti usano l'esecuzione di codice lato client per ottenere un punto d'appoggio, eseguire comandi, scrivere file o preparare ulteriori movimenti all'interno di una rete. I difensori riducono il rischio applicando patch ai client vulnerabili, limitando le funzionalità di file e script, applicando il privilegio minimo e limitando a cosa può accedere una postazione se viene compromessa.