Plus précisément, les hackers - certains faisant partie de la communauté 4Chan - ont exploité une faille qui consiste à placer une balise < script > en début de code pour que les balises suivantes soient correctement interprétées. Le blog TheNextWeb rapporte les propos d'un porte-parole de Google qui explique : « Nous avons entrepris des actions rapides pour corriger cette vulnérabilité XSS sur Youtube.com (...) Pendant une heure, les commentaires ont été masqués par défaut puis nous avons publié un correctif deux heures plus tard ».
Voici ci-dessous une vidéo de démonstration mise en place par le blog InSecurity Romania: