のjavascriptエンジンで機能やセキュリティの抜け穴

Question

私はXSS領域にビットを掘るとJavaScriptで面白いものを見つけました：予想通り

eval(\`// alert(document.cookie)\`) 

は何もしませんが、

eval(\`// \r alert(document.cookie)\`) 

は、トークンとの警告をポップアップ表示... \rコメントを外してスクリプトを実行します。

は、IE11、EdgeおよびChromeでテストされていますが、すべて同じ動作をしています。

これは何か予想されますか？私は、問題として...

よろしく、 エフゲニー

Answer 1

これは期待される動作であることを考えるでしょう。

\rは送料の返品となります。新しい行が始まります。

//は行コメントであり、その行がコメントアウトされているだけです。

---

evalのセキュリティ上の問題はこれ以上発生しません。あなたがそれを使うなら、あなたはそれを与えている入力を理解する必要があります。