Il JavaScript iniettato è codice di script aggiunto a una pagina web dopo che è stata compromessa. Invece di servire il contenuto originale del sito, l'attaccante modifica la pagina nel browser del visitatore alterando il DOM, riscrivendo il testo, aggiungendo moduli, reindirizzando il traffico o caricando risorse ostili da un altro server.
Questo è importante perché la pagina web stessa diventa parte dell'attacco. Gli script iniettati possono mostrare finte pagine di verifica, sottrarre credenziali inserite nei moduli, creare impronte del browser o attivare download e successiva consegna di malware. Nelle incidenti reali, il codice spesso agisce come una trappola di fiducia: il sito sembra legittimo, ma il browser sta eseguendo silenziosamente logica controllata dall'attaccante. I difensori cercano modifiche inattese agli script, hash alterati, domini di terze parti sospetti e violazioni di Content Security Policy o Subresource Integrity. Trattare il codice lato client come un confine di integrità è essenziale, perché una volta che JavaScript viene iniettato, i normali segnali di fiducia del web possono essere rivolti contro l'utente.