フィールドのラベルにスクリプトが仕込まれる

kintone-xss-sample-1.js

/*
 * global.$
 */
jQuery.noConflict();
(function ($) {

  'use strict';

  kintone.events.on(['app.record.index.show'], function (event) {
    // フィールド情報からセレクトボックスを生成
    var $select1 = $('<div class="kintoneplugin-select-outer"><div class="kintoneplugin-select"><select id="select1"></select></div></div>');
    $(kintone.app.getHeaderMenuSpaceElement()).append($select1);

    kintone.api(kintone.api.url('/k/v1/preview/app/form/fields', true), 'GET', {
      app: kintone.app.getId()
    }).then(function (r) {
      var props = r.properties;
      Object.keys(props).forEach(function(prop){
        var field = props[prop];
        $('#select1').append('<option value="' + field.label + '">' + field.label + ' [' + field.type + '/' + field.code + ']' + '</option>');
      });
    }).catch(function (e) {
      console.log(e);
    });

    return event;
  });
})(jQuery);