Является ли window.location = example.com?q=восприимчив к XSS?

Question

Допустим, у меня есть следующий код:

//--get the value that was passed in via a query string parameter
var passedInQueryStringValue = getQueryStringValueFor("someKey");
//--append the value to the window.location as such:
window.location = "https://example.com?q=" + passedInQueryStringValue ;

Это восприимчиво к XSS (или любой другой атаке в этом отношении)?Давайте предположим, что example.com правильно обработал любое значение для q, которое было отправлено, поскольку это не та часть, которая мне интересна.

Что-то здесь не так, но я не уверен, что существует уязвимость.

Answer 1

Согласно Adrian и @GuyT, этот код безопасен и не подвержен XSS или внедрению кода.

example.com, конечно, не должен делать глупостей со значением q (например, распечатать его какHTML) - но вопрос не в этом.

Answer 2

Все зависит от того, что example.com делает со строкой запроса q