img 标签上的 XSS 错误

Question

我正在测试一个网站，我发现在一个 img 中，当找不到 src 时，onerror 使用了另一个图像。如果我检查并使用警报更改 onerror，它完全可以工作。这是潜在的 XSS 漏洞吗？

Answer 1

用户在自己的浏览器中编辑 DOM 的能力不是 XSS 漏洞（尽管它可能是网络钓鱼攻击的载体）。

onerror，就像 any 属性的值被视为 JavaScript，如果攻击者可以将内容注入其中（或创建属性作为一部分），则可以将其用作 XSS 攻击的一部分将内容注入 HTML 文档）。