& JavaScript include filtro XSS Evasion Cheat Sheet

Question

di OWASP menziona "& JavaScript comprende":

https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet#.26_JavaScript_includes

L'esempio fornisce è la seguente:

<BR SIZE="&{alert('XSS')}"> 

ho provato su jsfiddle con Chrome e Firefox e non sto ottenendo un popup JS. Quindi su quali browser/versioni dovrebbe funzionare?

L'URL:

http://jsfiddle.net/rL1z32xb/

Answer 1

Avrai bisogno di uscire la vostra copia di Netscape 4 per riprodurlo.

Le versioni più recenti di Netscape (e ogni altro browser) non consentono l'utilizzo dell'operatore &.