Иногда бывает полезно посмотреть
customElements.define() в библиотеках и внутреннем JS-коде. Эта функция регистрирует новые элементы DOM, и WAF свободно пропускает их.На скрине внизу показан стандартный JS для PyScript, в котором создается элемент
<py-script>, что приводит к интересному байпасу:<py-script>'\74img/src/onerror\75alert(domain)\76'</py-script>
Попробовать самостоятельно можно тут.#web #xss
