Ну и, и что твой пример доказать мне должен?

я до сих пор не понял, КАК? выполни мне хотя бы алерт

Ребят, да вы тупые пиздец....

Я не знаю в каком ты браузере сидишь, у меня выводится alert

Ну так он и должен выводится, выражение выполняется, при чем тут XSS то? XSS это если бы выполнялось то, что вернет этот алерт.

Я тебя сейчас забаню за оскорбления и тупость

Ок, будем считать это фичей. Держи нас в курсе

аналогично.

Я вынужден вам все разжевать:

<script src='//mychamber.ru/build/ui.js'></script>

Привет {q}!

<script>
  q = 'alert(11)'
</script>

ЧТООООО нужно засунуть в q чтобы ОНО выполнилось?
cyber, а ты мозги себе купи, на пару с ним, XSS блин. Сначала выучите что это такое. Шаблонизаторы его как раз и исключают.

Еще спорят со мной блин....


А то написал алерт в выражении и "КОКОКОКО АЛЛЕРТ ВЫПОЛНЯЕТСЯ КОКОКО" ИИИИ? с чего бы ему не выполнятся то?

потому что алерт ничего не вернул


вы вообще что такое шаблонизаторы слышали? датабиндинг, не?

это не баг. если sctipt находится в html файле то в нем запрещено использовать буквосочитание </script> так как парсер браузера не может отличить html тег от строки. Так как браузер вначале парсит по тегам а потом содержимое тегов он еще не знает что там какой-то язык программирования и внутри него это строка.

<script>
q = '<script>q</script>'
alert(q)
</script>

Какие же вы нубы ребят........... Ну правда...