以下 JQuery 是否可利用？
Is the following JQuery exploitable?
我的公司运行一个自动静态分析工具，以下代码片段被标记为可用于 XSS。
$(`${foo} ${location.hash}:not(.match)`);
foo 总是像 #id 这样的 id 选择器。因为选择器总是有前缀，所以我不认为这是可利用的。
谁能想出一个利用示例？ location.hash 的值，其中 Javascript 可以执行。
在此先感谢您的帮助。
这里是官方回答https://github.com/jquery/jquery/discussions/4899。总之，jQuery >=1.9 需要输入导致创建以 < 开头的新元素，可能前面有一些空格。因此，上述构造不易受到XSS攻击。
我的公司运行一个自动静态分析工具，以下代码片段被标记为可用于 XSS。
$(`${foo} ${location.hash}:not(.match)`);
foo 总是像 #id 这样的 id 选择器。因为选择器总是有前缀，所以我不认为这是可利用的。
谁能想出一个利用示例？ location.hash 的值，其中 Javascript 可以执行。
在此先感谢您的帮助。
这里是官方回答https://github.com/jquery/jquery/discussions/4899。总之，jQuery >=1.9 需要输入导致创建以 < 开头的新元素，可能前面有一些空格。因此，上述构造不易受到XSS攻击。