漏洞关键信息总结 前言 从网页截图中可以通过代码提交信息和代码变更内容获取到以下关于漏洞的关键信息。 代码提交信息 提交ID: ff33980 作者: cdmx-in 提交时间: 2周前 提交描述: 增强输入清理，以删除Markdown链接和图片，阻断 和 标签来防止注入攻击 代码变更内容 后端文件变更: backend/app/utils/sanitize.py 更改描述: 去除Markdown的链接和图片标记，防止在前端被marked.js处理后产生注入攻击。具体变更包括： - 去除Markdown链接和图片语法，防止被前端预处理后产生注入 - 移除Markdown的图片语法 ，只保留替换文本 - 移除Markdown的参考型链接 和定义 - 再次解码编码的内容，拦截任何混淆攻击 前端文件变更: frontend/src/utils/sanitize.ts 更改描述: 移除自定义安全属性设置，改为彻底移除所有剩下的 和 标签，同时移除SVG、表单元素及链接和图片的标签等存在安全隐患的标签。具体变更包括： - 移除对 标签加额外安全属性处理的方式 - 移除自定义DOMPurify钩子，增加对应的 内标签黑名单阻断实现 - 移除 和 等标签，同时增加对SDG、表单元素及链接和图片的标签的过滤处理 - 移除对svg、form元素、链接和图片的标签的隔离阻断，增加对 、 、 等可以加载网络资源的属性的过滤限定 总结与思考 以上变更体现了项目团队对Markdown内容可能带来的安全威胁的充分认知，即包含图片或链接的标签可能被前端加工成注入点，对前端渲染的完整报文体进行气味定义或渲染控制等逻辑攻击。