L'XSS riflesso, o cross-site scripting riflesso, è una vulnerabilità web in cui un input controllato dall'attaccante viene inviato a un server e restituito immediatamente nella risposta senza un'adeguata escape o convalida. Il browser interpreta quindi quel contenuto restituito come script, così JavaScript malevolo viene eseguito nella sessione della vittima.
Questo è importante perché l'attacco di solito richiede solo un link creato ad hoc o l'invio di un modulo, rendendo facile la distribuzione tramite phishing, reindirizzamenti o risultati di ricerca. Una volta eseguito, lo script può leggere il contenuto della pagina, modificare ciò che l'utente vede, rubare token esposti a JavaScript o eseguire azioni per conto dell'utente. I difensori riducono il rischio con la codifica dell'output, la convalida dell'input, una gestione sicura dei template e intestazioni di sicurezza come Content Security Policy. L'XSS riflesso compare spesso nelle pagine di accesso, nei messaggi di errore, nei campi di ricerca e nei parametri di reindirizzamento, dove l'input dell'utente viene restituito al browser.