XSS в теге img

Question

Я тестирую веб-сайт и считаю, что в img, когда src не найден, onerror использует другое изображение.если я проверяю и изменяю ошибку с предупреждением, она полностью работаетЭто потенциальная уязвимость XSS?

Answer 1

Возможность пользователя редактировать DOM в своем браузере не является уязвимостью XSS (хотя это может быть вектором для фишинг-атаки).

onerror, как any *Атрибут 1005 * со значением, которое обрабатывается как JavaScript, может использоваться как часть атаки XSS, если злоумышленник может внедрить в него контент (или создать атрибут как часть внедрения контента в документ HTML).