Me pregunto si debo informar sobre una vulnerabilidad XSS reflejada si el auditor de navegadores XSS la filtra.
Por ejemplo, si encuentro una vulnerabilidad XSS en www.website.tld/some-action/?productSku=tes"%20onload="alert(1) , pero el navegador me muestra el siguiente error de auditor: 
En mi caso, el sitio web objetivo no tiene el conjunto de encabezados X-XSS-Protection , pero la mayoría de los navegadores habilitan la protección XSS de forma predeterminada. Sé que puedo intentar otras cosas, como cargar un archivo GIF malicioso con JavaScript, pero me pregunto si el onload=alert(1) anterior (que se filtra) también se consideraría un problema de seguridad, y por qué lo haría o no .