Simulação de ataque (ambiente isolado de teste).
Esta página reproduz o sink vulnerável do widget VFR (função en() + innerHTML). O tamanho recomendado foi contaminado com um payload ofuscado (base64 no onerror) que carrega core.min.js (XOR + Base64). Preencha o formulário e clique em Pagar para ver a captura no console do servidor.