Izvajanje arbitrarne kode pa je že po definiciji vrzel v varnosti. Kakor bomo kmalu odkrili, se strup skriva v majhnih stekleničkah. Poznamo tri različne oblike križnega izvajanja skriptov: DOM-based ali krajevni XSS (tip 0); non-persistent/reflected ali odsevni XSS (tip 1); persistent/stored ali trajni XSS (tip 2).