jquery - jQueryの$はXSSから安全ですか?

Question

jQuery の場合:

$('<script>alert("foo");</script>')
// nothing shows up 

// wrap it in a <p> 
$('<script>alert("foo");</script>').wrap('<p>')
// oh no, an alert just popped up. 

$('any string what so ever')どのブラウザでも JavaScript を実行できますか?

Answer 1

いいえ $ は XSS セーフではありません。

このトリックを使用して、任意の JavaScript を挿入できます。

$("<img src=x onerror=alert(/xss/.source)>")