Взлом гиганта: как я нашел уязвимость в поддомене Google и попал в «зал славы» багхантеров

Правильно понимаю, что если бы был CSP, то не получится воспроизвести XSS?