GitHub 安全公告库 (GHSA)·2026-10-20 01:01· 3 天前AI 评分47

Mercury 的 mr.Markdown 未清洗 HTML 导致存储型/DOM XSS

Mercury: Stored / DOM Cross-Site Scripting (XSS): mr.Markdown renders untrusted content as raw, unsanitized HTML

AI 导读

Mercury 的 mr.Markdown 组件用 python-markdown 把输入转成 HTML 后未经清洗，直接写入 ipywidgets.HTML 的 innerHTML，应用渲染不可信数据时脚本会在其他查看者浏览器中执行。