dfgsdfg" onload=alert(1);
y en el fuente sale:
Código
<input id="searchInput" type="text" value="dfgsdfg" onload=alert(1);" placeholder="Buscar..." maxlength="100" name="search"
como vemos convierte a html entities los " y me impide escaparme del atributo...
Ésto me parece imposible de bypassear y con el tag value no podría ejecutar script mandando javascript:alert(1)... Se les acurre alguna forma? Gracias y saludos!