TX-C0RE Security Research
XSS GRENADE

XSS scanner, který nálezy potvrzuje — ne hádá.

Statická AST analýza, kontextová injektáž a potvrzení v reálném prohlížeči v jednom nástroji. Méně šumu, víc skutečných zranitelností.

// MAPUJ  >  INJEKTUJ  >  POTVRĎ  >  REPORTUJ
root@txcore:~$
[] potvrzeno 3 · false-positive 0 · report.sarif
Problém

Běžné scannery hlásí reflexe. Tým pak hodiny třídí false-positives — a moderní vektory jako prototype pollution nebo CSPT2CSRF stejně proklouznou. XSS Grenade ten šum odřízne a moderní třídy aktivně hledá.

Proč XSS Grenade

Čtyři důvody, proč nahradit dosavadní scanner

Potvrzené nálezy

Každý kandidát se spustí v reálném prohlížeči (Playwright + Chromium). Co je v reportu, skutečně existuje — žádné „možná zranitelné".

Moderní vektory

Prototype pollution, mXSS, CSPT2CSRF, DOM clobbering, Trusted Types, CSTI. Třídy, které běžné scannery vůbec nehledají.

Méně šumu

Vícevrstvý filtr — pre-scan probe, deduplikace, severity gate, render probe — odřízne balast dřív, než se dostane k analytikovi.

CLI i GUI

Automatizace do pipeline přes CLI, vizuální práce v PyQt5 rozhraní. Výstup v JSON, samostatném HTML reportu i TXT.

Jak to funguje

Od cíle k potvrzenému nálezu

01

Mapování

Crawl attack surface, fuzzing skrytých parametrů, extrakce SPA rout (Angular / Vue / React).

02

Kontextová injektáž

tree-sitter + esprima určí kontext reflexe a vyberou payload na míru — ne naslepo.

03

Statika + dynamika

AST taint analýza najde DOM XSS bez spuštění, headless prohlížeč exekuci potvrdí.

04

Report

Potvrzené nálezy se severity, CWE a kontextem — připravené k předání nebo do pipeline.

Blast radius

Jeden běh, celé moderní spektrum XSS

Pokrytí, které jinde znamená několik samostatných nástrojů a manuálních kontrol.

Reflected XSSDOM XSSCSPT2CSRFStored XSSmXSSPrototype pollution XSS GRENADE
Reflected XSS
klasická reflexe v odpovědi
Stored XSS
perzistentní + round-trip
DOM XSS
AST taint, bez spuštění
Prototype pollution
__proto__ řetězce
Mutation XSS
mXSS přes sanitizér
CSPT2CSRF
client-side path traversal
CSTI
template injection eval
postMessage
slabá origin validace
DOM clobbering
id/name kolize
Trusted Types
bypass policy
CSP bypass
slabé direktivy
CVE feedy 2026
DOMPurify · React Router
Srovnání

Jak si XSS Grenade stojí vedle ostatních

Většina XSS scannerů pokrývá tři klasické třídy. XSS Grenade cílí i na moderní vektory, které jinde chybí — a každý nález potvrzuje v reálném prohlížeči.

XSS Grenade
10/10
Dalfox
3/10
Burp Suite Pro
3/10
XSStrike
2/10

// Plně podporované třídy XSS z 10 sledovaných. Částečnou podporu (přes rozšíření) graf nezapočítává — detail níže.

Schopnost XSS Grenade Dalfox Burp Suite Pro XSStrike
Reflected XSS
Stored XSS
DOM XSS
Prototype pollution~
Mutation XSS (mXSS)
CSPT2CSRF
CSTI (client-side TI)~
DOM clobbering~
Trusted Types / CSP bypass
postMessage / origin~
Potvrzení v reálném prohlížeči
Vícevrstvý filtr false-positives~~
SARIF výstup + CI gating~
CLI + GUI~~
plná podpora ~ částečná / přes rozšíření nepodporováno

Srovnání vychází z veřejně dokumentovaných funkcí jednotlivých nástrojů; konkrétní pokrytí se může lišit podle verze a použitých rozšíření (např. Burp DOM Invader). Slouží jako orientační přehled, ne jako benchmark detekční úspěšnosti.

Výstup

Co dostanete v reportu

Každý nález je potvrzený v reálném prohlížeči a přichází se severity, CWE, důkazem a konkrétní nápravou. Ukázka:

XSS Grenade // Security Report
target: app.example.comv10.172 potvrzené · 0 false-positive
1 Critical 1 High 0 Medium 0 Low
Reflected XSSCWE-79Critical
URL/search?q=…
Parameterq
Sourcelocation.search
Sinkdocument.write
ContextHTML body
Payload<svg/onload=alert(document.domain)>
NápravaVstup se odráží do odpovědi bez správného kódování. Kontextově enkódujte veškerý uživatelský vstup na výstupu a používejte šablonovací engine s automatickým escapováním.
✓ Potvrzeno v reálném prohlížeči (Playwright)
DOM-based XSSCWE-79High
URL/profile#…
Parameterlocation.hash
Sourcelocation.hash
Sinkelement.innerHTML
ContextDOM / client-side
Payload<img src=x onerror=alert(1)>
NápravaKlientský skript přivádí útočníkem řízená data do nebezpečného DOM sinku bez sanitizace. Nepoužívejte innerHTML s nedůvěryhodnými daty; volte textContent nebo sanitizér (DOMPurify) společně s Trusted Types.
✓ Potvrzeno v reálném prohlížeči (Playwright)
Známé CVE v detekovaných knihovnách
KnihovnaCVESeverityOpraveno v
DOMPurifyCVE-2024-47875High2.5.0 / 3.1.3
React RouterCVE-2026-22029Medium7.12.0
Formáty výstupu: HTML · JSON · SARIF 2.1.0 · TXT — payloady jsou HTML-escapované, otevře se bezpečně v jakémkoli prohlížeči.
Pro koho

Kam XSS Grenade zapadá

Penetrační testeři
Hloubkové pokrytí moderních vektorů v rámci web app testů.
Bug bounty
Precizní nástroj na nálezy, které ostatní scannery míjejí.
AppSec týmy
Opakovatelné skenování s nízkým false-positive poměrem.
Red teaming
Cílené potvrzení exekuce v reálném prohlížeči.
Python 3.8+
tree-sitter HTML kontext
esprima AST taint
Playwright + Chromium
anti-detekce: UA rotace · Tor · proxy
resume přes checkpoint
aktuální CVE feedy 2026
Příběh projektu

Přes rok vývoje, ne víkendový skript

XSS Grenade nevznikl přes noc. Je to výsledek více než roku soustředěného vývoje — od prvního prototypu po nástroj, který dnes kombinuje tři vrstvy detekce: statickou AST taint analýzu, kontextové parsování HTML a dynamické potvrzení v reálném prohlížeči přes Playwright.

Pod kapotou je dnes zhruba 41 000 řádků kódu napříč 39 moduly v Pythonu s rozhraním v PyQt5. Vedle samotné detekce šel vývoj i do zralosti, kterou ocení tým: výstup ve formátu SARIF, gating v CI a průběžně udržovaná dokumentace. Celé to vzniká samostatně pod značkou TX-C0RE Security Research — s důrazem na to, aby nástroj reálně urychlil práci testera, ne přidal další falešné poplachy.

0
měsíců vývoje
0
řádků kódu
0
modulů
0
vrstvy detekce
O autorovi

Kdo za XSS Grenade stojí

Robert Rolko

Robert Rolko

Zakladatel TX-C0RE Security Research · Offensive Security

Penetrační tester a specialista na offensive security. Etickému hackingu se věnuje od osmnácti let a v praxi se pohybuje napříč web app testy, red teamingem a vývojem vlastních nástrojů. XSS Grenade vznikl přímo z této praxe — z potřeby scanneru, který moderní XSS třídy nejen hlásí, ale skutečně potvrzuje. Pod značkou TX-C0RE Security Research staví nástroje, které mají reálně zrychlit a zpřesnit práci testera, ne přidat další šum.

Certifikace
Web Application Pentesting
TryHackMe · 2024 · ověřit ↗
MS 365 — Bezpečnost informací a jejich řízení (SC-400)
Microsoft / GOPAS · 2025
Začněte

Nasaďte XSS Grenade do svého workflow

Pro demo, pilotní nasazení nebo integraci do testovacího procesu se ozvěte týmu TX-C0RE Security Research.

Kontakt

Napište nám

Napište nám o cíli nebo o tom, co potřebujete otestovat — vrátíme se s odhadem v MD.

Otevře se ve vaší e-mailové aplikaci. Radši zavolat? Použijte tlačítko výše.