xss desde atributos hidden

[Castg!]

estoy muy mal de la memoria y no se si esto ya lo pregunte. tengo una web donde puedo cerrar la comilla del "value" en un input type=hidden. Osea:

www.web.com/index.php?xx=2

Código (html4strict) [Seleccionar] Expandir

<input type=hidden name=xx value="2">

yo puedo hacer estas cosas:

www.web.com/index.php?xx=2" type=text

Código (html4strict) [Seleccionar] Expandir

<input type=hidden name=xx value="2" type=text"> aunque no tiene sentido

www.web.com/index.php?xx=2"<

Código (html4strict) [Seleccionar] Expandir

Internal Server Error 500


hay alguna forma a traves de algun atributo (onclick, onmouseover;logicamente para un hidden) de inyectar javascript?

[Shell Root]

Pero, no entiendo. XD

Como le vas a dar click a un objeto invisible?. -no se si estoy diciendo lo correcto-

[Castg!]

...onclick, onmouseover;logicamente para un hidden) de ...

esa es mi pregunta

[Shell Root]

pero si haces la inyección de código JS como el básico... es decir,

Código (html4strict) [Seleccionar] Expandir

"><script>alert();</script>

[Castg!]

tomaste por lo menos 2 minutos de tu tiempo en leer mis ejemplos?
cuando inserto el caracter < me causa un internal server error, (cuando inserto un > no)

[Shell Root]

No no lo leí... XD

El primer punto a tener en cuenta con el objeto hidden es que este es "invisible al usuario". El usuario no puede verlo y por lo tanto no puede interactuar con él.