サーバー上で実行されるPHPコード：

```
<!doctype html>
<html>
<head></head>
	<body>
		<?php
		echo $_GET["q"];
		?>
	</body>
</html>
```

次に、ユーザーがGETパラメータを追加して、ウェブサイト.tld/index.phpをロードすると、``website.tld/index.php?q=hello``のように、ロードされたウェブサイトのソースは次のようになります：

```
<!doctype html>
<html>
<head></head>
	<body>
		hello
	</body>
</html>
```

これは、攻撃者が任意のjavascript/html/cssを実行できるようにする、最も基本的な種類のXSS攻撃です。
PHP code that would run on a server:

```
<!doctype html>
<html>
<head></head>
	<body>
		<?php
		echo $_GET["q"];
		?>
	</body>
</html>
```

Then if the user were to load website.tld/index.php with added GET parameter such as ``website.tld/index.php?q=hello`` the loaded website source would result in:

```
<!doctype html>
<html>
<head></head>
	<body>
		hello
	</body>
</html>
```

This is the most basic kind of XSS attack one could create that would allow any attacker to run arbitrary javascript/html/css.