在目录/文件名中应用 XSS 有效负载,而不是在参数中

我在一个主要网站中遇到了内容伪造。该网站在第一个斜杠后反映插入的文本。例如 `example.com/[dot]content_reflected_on_page` 该内容在页面的语言下拉菜单部分中反映出来。因此，我假定带有点的值被视为语言文件。