La siguiente función está marcada como un vector reflexivo para ataques XSS mediante software de escaneo. Sin embargo, la función nunca pasa ningún dato ingresado por el usuario de ningún tipo ni utiliza datos de una base de datos que tenga datos ingresados por el usuario.

Agregado: el objetivo del código es un módulo simple para que otras clases llamen y creen un botón con una acción de evento asignada.

Asi que,

1. esto no puede ser un vector para ataques XSS, ¿correcto?
2. Si me perdí algo en mi comprensión de las vulnerabilidades XSS incluso cuando no se utilizan datos ingresados por el usuario, ¿cómo se debe refactorizar para eliminar la amenaza?

 export default class Button { constructor(html = "", classList = []) { this._button = document.createElement("button"); this._button.classList.add(...classList); this._button.innerHTML = html; // <-- flagged by scanning software } get button() { return this._button; } setOnClickAction(action = null) { if (action === null || !(action instanceof Function)) { throw new Error("Button action cannot be null."); } this._element.addEventListener("click", action); } }

la función se llama así:

 const button = new Button("General<small><br>(Receiving)</small>", ["btn", "btn-light", "btn-outline-dark", "ml-1", "mr-1", "text-info"]);