Markdown の XSS attack のリスク

[kazuma-naka]

概要

日報などの Markdown は HTML で使用されるタグをレンダリングするため XSS attack のリスクがあることを報告します。

再現手順

1. 日報を新規作成
2. <svg onload="window.location='https://www.google.com'"></svg> を貼り付ける
3. 日報を開くと Google.com に遷移する

期待される振る舞い

<svg onload="window.location='https://www.google.com'"></svg> のスクリプトはエスケープされるべきで実行されるべきではない

スクリーンショット

環境

• OS: Windows
• ブラウザ: Chrome
• バージョン:

関連Issue

Ref: #関連Issue番号