Внедрение CSS почти так же хорошо, как внедрение скрипта.У вас expression() в IE6-7 (и позже в представлении совместимости), у вас behavior: (HTC) в IE, у вас -moz-binding: в Firefox, у вас content: длявставлять текст, и иногда, в основном в старых браузерах, которые его не блокируют, вы получаете url(javascript:...).Даже без этого вы получаете значительный риск только из-за спуфинга визуального пользовательского интерфейса.
Пока пользовательская таблица стилей ограничена пользователем, который ее создал, пользователь может только поставить под угрозу себя.Проблема возникает, когда пользователи начинают делиться таблицами стилей.Возможно, вы не позволите пользователям выбирать тот же адрес внешней таблицы стилей, что и другой пользователь, чтобы препятствовать этому.