XS-Leaks攻击的原理是，攻击者可以绕过Web 浏览器中的同源策略，恶意网站借此隐藏在可信的网站背后，这样就可以窃取用户输入的各类信息。例如，XS-Leak攻击可以让恶意网站藏在后台，从邮件网站中窃取电子邮件收件箱的内容。
 
众所周知，跨站点泄漏攻击并不是一个新的概念。2019年，德国达姆施塔特工业大学的研究员在Facebook、推特和 Microsoft Live 等流行的消息和社交媒体平台的图像分享特性中发现了一个 XSLeak 信道。
 
从本质上来看看，当用户在私密聊天线程中上传图像后，主机服务会为该资源创建一个唯一的 URL，仅供线程内的各方访问。攻击者可滥用该机制为目标用户创建一个唯一的URL，之后强制访客的浏览器访问另外一个网站请求相同的URL。
 
也正如安全人员所说的那样，并非所有的泄露攻击都可以识别、归类为XS 泄漏。为此安全研究人员想要更加系统的搜集新的XS-Leaks攻击，评估这些攻击的缓解措施是否有效，以便可以更好地帮助企业做好安全防护。