L'XSS da solo non fa molti danni, ma può essere facilmente combinato con altre tecniche per formare potenti vettori di attacco. Alcune possibilità sono:
dirottamento di sessione - Spesso i cookie di sessione possono essere letti da Javascript. Attraverso XSS, è possibile montare uno script che legge l'ID di sessione di un utente e lo restituisce all'attaccante (un metodo semplice ma efficace consiste nell'aggiungere un elemento img al DOM, dove l'URL dell'immagine porta l'ID di sessione); l'attaccante può quindi dirottare una sessione autenticata inserendo l'ID di sessione nel proprio cookie di sessione.
Scansione di informazioni riservate : se una pagina con una vulnerabilità XSS contiene informazioni riservate e la invia all'autore dell'attacco (proprio come il cookie di sessione).
pubblicazione dei dati per conto di qualcun altro - Tramite XSS, un modulo di invio può essere intercettato e modificato, o persino attivato, postando dati senza il consenso dell'utente. Ad esempio, se è possibile compromettere un client di posta elettronica, è possibile dirottare il pulsante "Invia" per aggiungersi all'elenco dei destinatari.
reindirizzamento pericoloso : uno script XSS può alterare gli URL di qualsiasi link sulla pagina. Ciò può essere abusato, ad esempio, per inviare l'utente a una pagina di accesso falsificata; invece di effettuare l'accesso, inviano le loro credenziali all'autore dell'attacco.
social engineering - Inserendo messaggi di errore, avvisi, ecc., puoi ingannare gli utenti in ogni tipo di comportamento non sicuro. Ad esempio, un utente malintenzionato potrebbe richiedere agli utenti di scaricare e aprire un determinato file; se il sito che chiede loro di farlo ha un alto livello di fiducia con l'utente, è probabile che eseguiranno in modo acritico qualsiasi cosa, che consenta di montare trojan e altri malware.
Si noti inoltre che molti vettori di attacco funzionano senza che l'utente apra consapevolmente la pagina compromessa: spesso, la pagina compromessa viene inserita in un iframe invisibile da qualche altra parte, come ad esempio un forum che la vittima probabilmente visiterà o una pagina collegata da ancora da qualche altra parte.