Mi chiedo se dovrei segnalare una vulnerabilità XSS riflessa se viene filtrata dal revisore dei browser XSS.
Ad esempio, se trovo una vulnerabilità XSS in www.website.tld/some-action/?productSku=tes"%20onload="alert(1) , ma il browser mi mostra il seguente errore di auditor: 
Nel mio caso il sito web di destinazione non ha l'intestazione X-XSS-Protection impostata, ma la maggior parte dei browser abilita la protezione XSS per impostazione predefinita. So che posso provare altre cose, come caricare un file GIF dannoso con JavaScript, ma mi chiedo solo se il onload=alert(1) sopra (che viene filtrato) sia considerato un problema di sicurezza, e perché lo farebbe o meno .