معاينة ماركداون والنتيجة تختلفان

ساهم خلل
8

لقد جربت للتو إصدار HTML5 من loofah ونواجه مشكلة أمنية على ما يبدو:


  1) PrettyText يوفر الأمان لـ img bbcode
     فشل/خطأ: expect(cooked).to eq(html)
     
       متوقع: "<p><img src=\"http://aaa.com&lt;script&gt;alert(1);&lt;/script&gt;\" alt=\"\" role=\"presentation\"></p>"
            حصل: "<p><img src=\"http://aaa.com<script>alert(1);</script>\" alt=\"\" role=\"presentation\"></p>"
     
       (تمت المقارنة باستخدام ==)
     # ./spec/lib/pretty_text_spec.rb:2150:in `block (2 levels) in <main>'
     # ./spec/rails_helper.rb:358:in `block (2 levels) in <top (required)>'
     # /home/sam/.gem/ruby/3.2.1/gems/webmock-3.18.1/lib/webmock/rspec.rb:37:in `block (2 levels) in <top (required)>'

هذا يبدو محفوفًا بالمخاطر جدًا بالنسبة لي… سأقوم بالرفع…

3 إعجابات