¿Permitir que la etiqueta de citar cree alguna vulnerabilidad de XSS?

Mirando la definición de la etiqueta de cita no se ve en sí mismo y, por sí mismo, es probable que presente problemas de XSS, ya que en la mayoría de los usos es una etiqueta simple sin parámetros de estilo de JavaScript.

El único problema potencial que podría ver es si interactúa mal con el código que se usa para filtrar el contenido en las etiquetas a , ya que las etiquetas a se pueden anidar dentro de las etiquetas cite , pero eso es principalmente un filtro problema de implementación en lugar de un problema fundamental.

Si bien es cierto que la etiqueta simple de cite en sí no causará ningún problema de XSS, sin embargo, con la adición del controlador de eventos javascript, XSS sería posible.

Sin embargo, StackExchange probablemente bloquearía todos los controladores de eventos de javascript (o incluirá en la lista blanca la cantidad de atributos permitidos), por lo que creo que esto no es un problema.

Vector: ¡Haz clic en mí! Ejemplo: enlace