XSS漏洞发生在应用层，通常由于对用户输入未进行充分验证或过滤，导致攻击者在网页中注入恶意脚本。