Il OWASP XSS Prevention Worksheet consiglia "escape URL prima di inserire dati non affidabili nel parametro URL HTML valori".
Non capisco come qualcuno possa uscire da un contesto URL o iniettare un nuovo sottocontesto per eseguire un attacco XSS in un URL. Poiché il browser interpreta l'URL, alcuni caratteri possono essere utilizzati per interrompere l'elaborazione dell'URL e forzare il browser a iniziare l'elaborazione di un nuovo URL inserito?
http://somesite.com/about<terminating character>javascript:;alert("hello")
Qualcuno può fornire esempi di come qualcuno potrebbe eseguire un'iniezione XSS in un URL?