javascript - window.locationで実行できるXSS攻撃

Question

window.locationユーザー入力データを使用してリダイレクトするときに実行できるXSS攻撃。

これだと思います

• http://ユーザーは、エンドユーザーが悪いサイトにたどり着くように含むタイトルで投稿を書くことができます。
• ユーザーは「javascript:EvilCode()」というタイトルの投稿を書くことができます。これは一部のブラウザで実行されると思いますか？

Answer 1

最初にデータをURLエンコードしない場合、 XSSを許可する可能性があります。