& JavaScript enthält

Question

XSS-Filter Evasion des OWASP Cheat Sheet "& JavaScript enthält" erwähnt:

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#.26_JavaScript_includes

Das Beispiel bietet es sich wie folgt:

<BR SIZE="&{alert('XSS')}"> 

ich es auf jsfiddle mit Chrome versucht und Firefox und ich bekomme kein JS-Popup. Also an welchen Browsern/Versionen soll das funktionieren?

Die URL:

http://jsfiddle.net/rL1z32xb/

Answer 1

Sie benötigen 4 Ihre Kopie von Netscape zu brechen, um es zu reproduzieren.

Neuere Versionen von Netscape (und jedem anderen Browser) erlauben die Verwendung des & Operators nicht.