发布：2022年4月20日在14:00 UTC
更新：2022年4月20日在14:07 UTC
所以，最近，我正在更新我们的XSS备忘单修复通过浏览器更新过时的某些向量。在看向量的同时，过渡事件陷入了我的脑海。他们需要一个样式块以及活动：
<样式>：目标{颜色：红色;}
我想删除样式块的要求。我想知道默认情况下添加了哪些浏览器样式？我做了一些谷歌搜索和W3Schools上的页面引导我发现我的发现。某些标签具有焦点选择器 - 这非常有趣，因为这意味着过渡将与他们一起使用！浏览列表，我注意到正在使用大纲，然后我想起，当您使其可用于可访问性时，Chrome将围绕元素的轮廓放置。
这意味着如果我们将过渡到大纲属性，我们可以删除样式块的要求。该向量可与任何可重点标签一起使用：
test 适当的XSS黑客！就像过去一样。
前一段时间，我发现了一些您可能不熟悉的基于SVG的媒介。最近的浏览器更新修改了Chrome和Firefox的“使用”元素的行为。现在，您可以使用嵌入式SVG在“使用”元素的数据URL中自动执行JavaScript：
这是基本64解码：
尽管您当然不必使用base64，但您也可以这样做：
最后，您可以使用动画标签更改“使用”元素的HREF来导致JavaScript执行：
如果您喜欢这些向量并想了解更多信息，我建议我们网络安全学院的XSS部分beplay体育能用吗您可以通过我们的互动实验室磨练自己的技能 - 或访问我们的技能XSS备忘单找到更多。