Ataque XSS a Directorios

[David]

Si no ejecuta el código Javascript, no es una vulnerabilidad XSS (que yo sepa ).

Y el hecho de que muestre el servidor no es una vulnerabilidad, de hecho, el servidor en sí ya envía en la cabecera de la respuesta HTTP qué software es .