La carga se almacena en el servidor (en una bd, foro o sección de comentarios) y se distribuye a todos los usuarios que lo visiten.
Reflected XSS
El script malicioso no se almacena en el servidor; se refleja en la respuesta del servidor. Se puede inyectar en la url o en datos de formularios. El ataque es de un solo uso, se ejecuta en el navegador de la víctima cuando accede.
DOM XSS
Modifica el HTML (DOM) de la página web y permite inyectar script dentro del html.
Blind XSS
No se ve reflejado el XSS en pantalla; para ello lo mejor es montarte un servidor con python y, con un script, enviarte una solicitud para ver si se ejecuta.