このウェブページのスクリーンショットから、以下の脆弱性に関する重要な情報を取得できます： 1. タイトル：隠し入力フィールドにおけるXSS 2. 著者：Gareth Heyes 3. 公開日：2015年11月16日 11:25 UTC 4. 更新日：2019年6月14日 12:03 UTC 5. 脆弱性の説明： - 隠し入力フィールドにおけるXSSは、要素が非表示であるため や などの一般的なJavaScriptイベントをトリガーできないことが多く、 exploit が非常に困難な場合が多い。 - 著者は、現代のブラウザでこれを exploit 可能かどうかをさらに調査することを決意した。その結果、アクセスキーを介してアクティブ化された際に、隠し入力フィールドで イベントが呼び出されることを発見した。 - 使用されたベクターは以下の通り： - このベクターはユーザーの操作を伴うため理想的ではないが、IE<=9 でのみ機能する と比較すれば、はるかに優れている。 6. 動作原理： - 著者はアクセスキーについて考え、アクセキーを介してアクティブ化された際に隠し入力フィールドで イベントが呼び出されるかどうか疑問を抱いた。 - その結果、Windows では ALT+SHIFT+X、OS X では CTRL+ALT+X というキー組み合わせで Firefox でこれが機能することを確認した。 - 属性で異なるキーを指定することで、異なるキー組み合わせを指定できる。 7. 更新情報： - この手法は現在、Chrome および 、 、その他の要素でも機能する。 - 属性のみを制御できる 要素でも、この手法を使って exploit 可能である。 - 例えば、 に 属性を持つ 要素がある場合、 属性を注入して イベントを設定すれば、XSS が成立する。 - 使用されたベクターは以下の通り： 8. POC： - 要素を使用したPOCが公開されている。 - 著者は、クロスサイトスクリプティング（XSS）についてさらに学ぶために Web Security Academy を訪問することを提案している。 これらの情報は、隠し入力フィールドのXSS脆弱性をどのように利用し、アクセスキーを介して イベントをトリガーしてXSS攻撃を実行する方法を詳細に説明している。