Stored: الكود الخبيث يخزن في قاعدة البيانات ويصيب كل من يزور الصفحة.
Reflected: الكود الخبيث يأتي في رابط يرسله الهاكر للضحية مباشرة.