В учебном приложении параметр q вставлялся в атрибут value, а фильтр заменял < и >, но оставлял двойные кавычки без изменений. Это позволяло закрыть атрибут и добавить обработчик JavaScript — для XSSi не обязательно внедрять тег <script>.

В разборе показали payload с autofocus и onfocus. Затем уточнили: после замены двойных кавычек на &quot; этот способ в заданных условиях не работает, поскольку кавычка остаётся символом значения атрибута. Защита должна учитывать контекст вставки данных.

Полный разбор →