Sâu XSS, đôi khi được gọi là vi rút tạo tập lệnh chéo trang,[1] là một payload độc hại (hoặc đôi khi không độc hại), thường được viết bằng JavaScript, vi phạm bảo mật trình duyệt để lan truyền giữa những khách truy cập trang web nhằm cố gắng dần dần lây nhiễm cho những du khách khác.[2] Chúng được đề cập lần đầu tiên vào năm 2002 liên quan đến lỗ hổng tập lệnh chéo trang trong Hotmail.[3]