HTTPヘッダは改行区切り、ヘッダとボディは空行（連続する改行）で区切られる。 外部入力を検証せずヘッダに入れると、改行 %0d%0a を注入して 偽の Cookie 設定・リダイレクト・偽のレスポンスボディを作り込める。
%0d%0a
攻撃例（name欄に）: taro%0d%0aSet-Cookie:+SESSID=attacker
taro%0d%0aSet-Cookie:+SESSID=attacker
f3c260147981