Un DOM sink è un percorso di codice lato browser in cui i dati provenienti da JavaScript vengono scritti nella pagina in modo da poter modificare il DOM o creare contenuto eseguibile. Tra i sink comuni ci sono innerHTML, outerHTML, document.write, insertAdjacentHTML e alcuni usi di eval o dell'assegnazione di gestori di eventi. Un sink diventa pericoloso quando riceve input non attendibile che non è stato codificato o sanificato per quel preciso contesto.
I DOM sink sono importanti perché molti bug di cross-site scripting vengono creati lato client, dopo che il filtraggio lato server è già terminato. Gli attaccanti cercano punti in cui stringhe controllate dall'utente raggiungono un sink e si trasformano in HTML, script o un URL malevolo. I difensori analizzano l'uso dei sink, sostituiscono le API rischiose con metodi più sicuri basati solo sul testo come textContent e applicano una codifica consapevole del contesto insieme a Content Security Policy. In pratica, individuare il sink è spesso il passaggio chiave per dimostrare se un payload può davvero essere eseguito.