new XSS pattern with jQuery

XSS with $(location.hash) demo Click this link. It works on IE, Firefox, Chrome, Opera. In Safari, location.hash is percent encoded, not work. why? $("#id") is css selector, $("<img>") is createElement, and $("#<img>") is createElement too. how to fix in your library var hash = "#" + location.hash.replace(/[^\w]/g, ""); if ($(hash).size()) { ... } or patch to jQuery - quickExpr = /^(?:[^<]*(<[\w\W

[eigokun]

やっと英語で書くようになったか。えらい

[mumincacao]

$() で XSS ってこのごろよく見かけたけど jQuery.$() ってば CSS Selector だけじゃなくのーど生成機能まで持ってたですか・・・ （・ロ【みかん

[tyage]

こういう状況ってあるんだ。。。

[teramako]

なるほど理解した。

[hidehish]

見てる:

[fukken]

$("#<img>")が要素を生成するのを利用、URLの末尾にこういうのを含むページに遷移した場合に、#以降をID指定とかと見做してjQueryオブジェクトを生成してどうこうしているサイトで、ページに予期せぬHTML要素が挿入される

[youpy]

location.hash $('#&lt;img&gt;') createElement