主页 / server / 问题 / 701300
Accepted
Stanislav Chromec
Asked: 2015-06-25 04:41:26 +0800 CST

Request Tracker 上的格式化 (HTML) 用户签名？

  • 772

有没有办法在 Request Tracker 上使用格式化的用户签名？我已经将模板设置为使用 text/html 消息。试图将 HTML 标记添加到签名中，但 < 被翻译为 <...

request-tracker

1 个回答

  1. Best Answer

    使用 RT 4.2 中的当前代码是不可能的。您可以在https://github.com/bestpractical/rt/blob/stable/share/html/Elements/MessageBox的第 69-76 行看到它

    出于安全原因，作者将危险字符转义为 HTML 实体。

    local/html/Elements/您可以通过将此文件复制到这些行并注释掉这些行来修改此行为，但这是一个很大的安全风险。您允许您的用户在您的 RT 网站中包含代码。基本上，您正在创建一个持久的 XSS 漏洞 [1]，您的任何用户都可以利用（如果以后没有转义输出）。

    [1] https://en.wikipedia.org/wiki/Cross-site_scripting#Persistent

    • 2

相关问题