Buenas, quería saber si de alguna forma se puede concretar un XSS en éste caso... En el campo de búsqueda introduzco:

dfgsdfg" onload=alert(1);

y en el fuente sale:

<input id="searchInput" type="text" value="dfgsdfg&quot; onload=alert(1);" placeholder="Buscar..." maxlength="100" name="search"

como vemos convierte a html entities los " y me impide escaparme del atributo...

Ésto me parece imposible de bypassear y con el tag value no podría ejecutar script mandando javascript:alert(1)... Se les acurre alguna forma? Gracias y saludos!

Hola! Lo primero que decis no sirve en éste caso, eso serviria si en el servidor usa alguna función como mysql_real_escape_string() que escape los ' u los " con /, entonces si mandas /", cuando la función quiera escapar al ", terminaría quedando asi: //", una barra es la que mandamos nosotros y la otra la que crea la funcion, y el " quedaría habilitado. Pero en éste caso que muestro, se ve que está encodeando a htmlentities las ", y ya no hay forma de hacer nada por lo menos en esa reflección... Saludos!