XSS-пейлоады в markdown обезврежены
Набор пейлоадов: script, onerror-атрибуты и javascript:-ссылки. Предпросмотр показывает их текстом — код не исполняется, во вкладке HTML видно экранирование.
ПресетСтраница примера инструмента
XSS-пейлоады в markdown обезврежены — поля заполнены примером, их можно менять. Настройки уедут в ссылку «Поделиться», а заголовок страницы и вкладки описывают исходный пресет, а не текущие поля.
Вернуться к обычному виду инструмента: Markdown: предпросмотр
Пустой ввод: вставьте markdown-разметку.
Исходная разметка
Предпросмотр
HTML
Разметка строится по белому списку тегов
Предпросмотр не использует innerHTML: узлы собираются из разобранного документа через createElement и textContent. Сырые <script>,onerror-атрибуты и javascript:-ссылки остаются текстом — код не исполняется, якоря строятся только для http(s). Вкладка «HTML» показывает ровно ту разметку, которая генерируется из документа, с экранированием текста.
Последние разборы
В истории — сводка по составу документа (заголовки, абзацы, слова), сам markdown не сохраняется. Вкладка восстанавливается кнопкой «В закладки».
Готовые примеры
Найдено: 3 из 3
- Предпросмотр README на markdownКусок README: заголовки, списки, инлайн-разметка и код-блок — предпросмотр показывает документ так, как его увидит читатель.
- Markdown-таблица версийТаблица с выравниванием по разделителю: заголовки, строки данных и инлайн-код в ячейках отрисовываются настоящей таблицей.
- XSS-пейлоады в markdown обезвреженыНабор пейлоадов: script, onerror-атрибуты и javascript:-ссылки. Предпросмотр показывает их текстом — код не исполняется, во вкладке HTML видно экранирование.