javascript - img 标签上的 XSS 错误

Question

我正在测试一个网站，我发现在 img 中找不到 src 时，onerror 使用了另一个图像。如果我检查并使用警报更改 onerror，它完全可以工作。这是潜在的 XSS 漏洞吗？

标签： javascriptxss

Answer 1

用户在自己的浏览器中编辑 DOM 的能力不是 XSS 漏洞（尽管它可能是网络钓鱼攻击的载体）。

onerror与任何具有被视为 JavaScript 的值的属性一样，如果攻击者可以将内容注入其中（或创建属性作为将内容注入 HTML 文档的一部分），则可以将其用作 XSS 攻击的一部分。