CSSXSSってかなりヤバい？
もうはてなキーワードになっているCSSXSSってかなりヤバくない？
CSSの@importで読んできた「CSSらしきテキストファイル」を
document.styleSheets(0).imports(0).cssText
で読む事ができる。CSSらしきテキストファイルは同じドメインとかそういう制限もないらしい。
「CSSらしきテキストファイル」がHTMLであれば正規表現とかgetElementByIdで読める。
これだけでも悪用方法がいくつも浮かんでくる。CSSXSSかなりヤバす。
参考
antipopさんのWeb における最新の攻撃手法 CSSXSS
がアツイ！！！じゃなくてヤバイ！！！