חור אבטחה חמור ב-IE
אני משתדל להיות מאוד זהיר. כל קלט שאני מקבל אני בודק ב-7 בעיניים ומוודא שאין שם סקריפטים משום סוג שהוא.
תמונות (להבדיל מקישורים), לא עלה בדעתי מעולם לבדוק src של תמונות.
ובכן, הדבר הבא, שהופעל נגדי על ידי גולש עובד (IE6/7 על כל מ"ה):
<img src=BLOCKED SCRIPTalert(0)>
אבל בכל זאת יש בדיקה של XSS בשרת, אז עקפו אותה בדרך פשוטה להחריד:
javascript:docum&
למיטב ידיעתי, אין לחור החמור הזה כרגע פיתרון בדפדפן. כל מע' פורומים וכיוצ"ב שמאפשרת לגולש העלאת תמונות - חשופה.
(עוד חורים בסגנון, והדפדפנים עליהם הם רצים: http://ha.ckers.org/xss.html)