Блог

Я тестирую веб-сайт и обнаруживаю, что в img, когда src не найден, ошибка onerror использует другое изображение. если я проверю и изменю onerror с помощью предупреждения, он полностью заработает. Является ли это потенциальной уязвимостью XSS?

Возможность пользователя редактировать DOM в своем собственном браузере не является уязвимостью XSS (хотя это может быть вектор для фишинг-атаки).

onerror , как и любой атрибут со значением, которое обрабатывается как JavaScript, может использоваться как часть атаки XSS, если злоумышленник может внедрить в него содержимое (или создать атрибут как часть внедрения содержимого в HTML-документ).).