XS-Leaks использует небольшие фрагменты информации о пользователе, которые раскрываются во время взаимодействия между веб-сайтами. Сюда входят данные жертвы из других веб-приложений, сведения о её локальной среде или внутренних сетях, к которым подключен пользователь.
XS-Leaks похожа на подделку межсайтовых запросов (CSRF), но отличается от неё тем, что вместо того, чтобы позволять другим веб-сайтам выполнять действия от имени пользователя, XS-Leaks используется для вывода информации о цели.