Комплексный навык обнаружения уязвимостей XSS с 14 уровнями проверок кодовых баз React/TypeScript/JavaScript (статический аудит). Используйте, когда пользователь хочет углубленный аудит XSS с широким статическим покрытием, включая SVG, MathML, впрыск CSS, конвейеры разметки, обход mXSS / санитизера, впрыск JSON-в-скрипте, обход проверки URL и анализ доверенных типов. Результаты отчета xss-audit-report.md.

Статический анализ только. Поисковый матч не является подтвержденной уязвимостью.

Предыстория

Этот навык происходит от моей практической работы в реальном мире баг-баунти. программы. В течение года я использовал его в своей повседневной жизни. аудит рабочего процесса и его постоянное совершенствование на основе того, что работало; И что упустили. Этот рабочий процесс помог мне идентифицировать десятки XSS. уязвимости, которые были отмечены наградами.

В тот же период я занял место в Microsoft MSRC Security. Научный сотрудник Leaderboard (ежеквартально Top 10) четыре раза подряд кварталы — 2025 Q3 #4, Q4 #7, 2026 Q1 #6, Q2 #10 (Лидерборд, мой профиль).

Я делюсь этим, чтобы другие могли адаптировать тот же процесс обзора к собственных аудиторских проверок.

##Установка

Скопируйте этот каталог в каталог навыков вашего агента:

Использование

xss-audit

Comprehensive XSS vulnerability detection skill with 14 layers of checks for React/TypeScript/JavaScript codebases (static audit). Use when the user wants an in-depth XSS audit with broad static coverage, including SVG, MathML, CSS injection, markdown pipelines, mXSS/sanitizer bypass, JSON-in-script injection, URL validation bypass, and Trusted Types analysis. Outputs report to xss-audit-report.md.

Static analysis only. A search match is not a confirmed vulnerability.

Background

This skill comes from my hands-on work in real-world bug bounty programs. Over the course of one year, I used it in my day-to-day audit workflow and refined it continuously based on what worked and what missed. That workflow helped me identify dozens of XSS vulnerabilities that were awarded bounties.

During the same period, I was ranked in Microsoft’s MSRC Security Researcher Leaderboard (quarterly Top 10) for four consecutive quarters — 2025 Q3 #4, Q4 #7, 2026 Q1 #6, Q2 #10 (leaderboard, my profile).

I’m sharing it so others can adapt the same review process to their own audits.

Installation

Copy this directory into your agent’s skills directory:

/xss-audit/SKILL.md

Usage

/xss-audit
/xss-audit src/

Or use $ if that is your agent’s skill syntax:

$xss-audit
$xss-audit src/

What it checks

The 14 review layers cover:

1. DOM and HTML injection: innerHTML, outerHTML, insertAdjacentHTML, document.write, DOMParser, setHTMLUnsafe, shadow DOM, and React dangerouslySetInnerHTML.
2. Attributes and event handlers: dynamic on* handlers, href, src, srcdoc, action, formaction, style, and JSX props that forward attacker-controlled values.
3. URLs and navigation: window.open, location, router navigation, protocol allowlists, hostname and substring validation errors, parser normalization, and downstream use of History API state.
4. Configuration and JSON-in-script: SSR bootstrap data, hydration state, JSON-LD, rich-text configuration, and `` breakout caused by unsafe serialization.
5. Props spreading and gadget components: untrusted props forwarded to anchors, iframes, URL-handling components, and dynamic attributes.
6. Untrusted sources and messaging: URL data, API responses, cookies, storage, IndexedDB, referrer, postMessage, BroadcastChannel, and MessageChannel, including origin, source, schema, and target-origin checks.
7. Prototype pollution chains: unsafe merge, setter, and assignment paths that can influence a security-sensitive XSS gadget.
8. JavaScript execution: eval, new Function, string timers, dynamically created scripts, Blob/ObjectURL execution, and worker script imports.
9. CSS and style injection: cssText, setProperty, insertRule, CSS-in-JS interpolation, external CSS URLs, and legacy browser-specific execution mechanisms where relevant.