PortSwigger 研究员 Gareth Heyes 发现一个影响所有浏览器、且能用来绕过 WAF 的 XSS 向量。他发现浏览器会把 HTML 标签名中的某些字符转换并转成大写，而 localName 属性会返回小写化的标签名；把这一行为与 tabindex 聚焦、onfocus 自链、autofocus 以及「属性值可被当作构造器调用」的特性组合起来，就能在标签名里直接执行 JavaScript，无需引号或常见关键字。作者随后还演示了用行分隔符等特殊字符构造的变种向量。