Der XSS-Schutz des IE8 bröckelt.

Der neueingeführte Cross-Site-Scripting Schutz des Internet Explorer 8 lässt sich anscheinend aushebeln.

Gorgio (der Entwickler von NoScript) berichtet in einem Blogeintrag darüber.

Konkret liegt das Problem in der Art der Filterung des IE8. So manipuliert der Internet Explorer die Antwort (Response) des Servers und verändert sie so, dass kein Code ausgeführt werden soll.

Hier liegt der Designfehler vor. Ich stelle mir es so vor, dass es sich ähnlich dem doppeltem Escapen verhält:

badBADCODEcode -> Filter = badcode