Deux solutions, ici c'est plutôt la première
Dans ton ?yo=argument, c'est le php qui va traité l'argument, en faisant éventuellement une requête SQL (un truc qui va chercher dans la base de donnée) donc si c'est mal sécurisé en mettant un ' tu stop la requête et tu peux la modifier c'est une injection SQL. Select "argument" from X devient si en argument tu passe 'bonjour" from X JOIN SÉLECT * FROM X' l'ensemble de la requête qui chèche bonjour et * donc t'as dl toute la base de données. Ici ça agis sur le serveur

Mais tu peux aussi injecter du code JavaScript dans la base de données, pour que les gens qui load la page au lieu de voir afficher du texte voit afficher du JavaScript c'est du XSS permanent

Dernier cas si c'est juste un résultat de recherche par exemple, tu file le lien à un pote y'a le JavaScript qui s'exécute mais rien est stocké sur le serv (mais lui croit que c'est safe car si tu le camoufle dans le lien ça se voit pas) injection XSS temporaire

Ces trois trucs sont patch partout normalement, mais une technique consiste à parcourir le web pour tester les XSS permanents et mettre un miner monero par exemple

Voilà voilà