Почему не срабатывает xss?

Question

[zlodiak]

Я написал два варианта одного и того же кода. Суть в том, что пользователь вводит в поле типа input вредоносный код:
<script>alert('xss attack')</script>

В результате jquery-код выполняет команду alert. А nativeJS-код не выполняет.

LIVE DEMO

Помогите пожалуйста сделать так чтобы nativeJS-код тоже выполнял команду alert. Не обязательно использовать innerHTML.

Я пробовал вместо innerHTML использовать createElement/createTextNode , но тоже не получилось. Хотя jquery-метод использует именно их, судя по исходникам

Answer 1

[Никита Михайлов]

Script elements inserted using innerHTML do not execute when they are inserted.

Стандарт

Хз, как там внутри всё это делает jQuery, но видимо обрабатывают по своему. При этом всё равно можно использовать XSS, только не так явно.

Например, вот это сработает <img src='x' onerror='alert(1)'>

Comments

[zlodiak]

Вряд ли jquery использует что-то кроме createElement. Но даже если создавать элемент через createElement, то все равно XSS не проходит...