Il XSS riflesso è una vulnerabilità web in cui l'input controllato dall'attaccante viene immediatamente restituito da un server in una risposta, e il browser lo interpreta come script eseguibile. Il payload non viene memorizzato sul sito; viene "riflesso" in una pagina, spesso all'interno di campi di ricerca, messaggi di errore o parametri URL.
Questo è importante perché lo script viene eseguito nel contesto del browser fidato della vittima. Un attaccante può rubare token di sessione, leggere il contenuto della pagina, eseguire azioni come l'utente o reindirizzare il browser verso altri contenuti malevoli. In pratica, il XSS riflesso spesso inizia con un link costruito ad arte e inviato tramite email, chat o un altro canale di consegna. Le difese includono una rigorosa codifica dell'output, la gestione dell'input, policy di sicurezza dei contenuti ed evitare il rendering non sicuro dei template. Per gli amministratori e altri utenti con privilegi, anche un singolo link cliccato può esporre account di alto valore e console di gestione.