PortSwigger 安全研究·· 2026-08-25AI 评分42
PortSwigger 研究：利用标签名与 localName、part、classList 等属性构造 XSS 绕过 WAF
What's in a tag name? JavaScript, apparently
AI 导读
PortSwigger 安全研究展示了一种利用 HTML 标签名构造 JavaScript 载荷的 XSS 手法：标签名经 localName 转为小写后可执行任意 JS，配合 tabindex 与 onfocus 链式调用即可触发，且在所有浏览器中有效。
来源：PortSwigger 安全研究 · portswigger.net