Es solo un atributo en el elemento. No tiene ningún significado por sí mismo, por lo que puede estar presente simplemente como una pista falsa.

Embellecido, el código es:

 <img src="/" =_=" title=" onerror='prompt(1)'" >

En HTML, = en un atributo especifica el delimitador entre el nombre del atributo y el valor del atributo, por lo que es:

 =_=" title=" ^^ attribute name =_=" title=" ^ delimiter between attribute name and attribute value =_=" title=" ^ attribute value contents delimiter =_=" title=" ^^^^^^^ attribute value =_=" title=" ^ attribute value contents delimiter

Y podría recuperar el valor del atributo si quisiera.

 const img = document.querySelector('img'); console.log(img.getAttribute('=_'));

 <img src="/" =_=" title=" onerror='prompt(1)'" >

Tenga en cuenta que el nombre del atributo es =_ , no =_= ; el = final es el delimitador, no forma parte del nombre del atributo.

El "XSS" es causado solo por src y onerror , nada más. Dondequiera que te encuentres con esto, el =_ probablemente no haga nada en absoluto. Podría , pero probablemente no.

 <img src="/" onerror='prompt(1)'">