正規表現で1回マッチングするだけ不完全。IEではCSS内において改行を含む文字列を許可するので、注意が必要です。Firefox等で許可されません(改行で文字列が終わったことになります)。TABの代わりにスペースや改行でも同様に解釈されるので注意。スクリプト側で対応不可能な既知のIE脆弱性mhtmlを使ったAjax風味で同様にデータ盗用方法object.documentElement.outerHTMLプロパティ処理の脆弱性(IE)お願いadiaryでセキュリティーホールを発見した場合はどんなに些細なものでもお知らせ下さい*4。「このセキュリティーホールに対応していますか?」という問い合わせはこの記事にどうぞ。セキュリティーホールだと思ったら「結果的に勘違いだった......」でも構いません。こちらで確認しますし、その確認の過程でセキュリティーホールを見つけることも結構ありますので。