Mistune Include 指令曝路径穿越与 XSS 漏洞

Mistune 的 Include 指令未校验解析后的文件路径是否位于源目录内，可通过 `../` 序列遍历读取任意文件；错误信息与包含文件内容渲染时未做 HTML 转义，即使 `escape=True` 仍可触发 XSS。该插件需通过 plugins 参数显式启用。

Mistune 3.3.0 之前版本的 Include 指令存在路径遍历漏洞，攻击者可通过在 include 路径中提供 ../ 序列读取任意文件。攻击者还可通过未转义的错误消息和被包含文件内容注入 HTML，即使设置 escape=True 也能实施 XSS。该通告因与 GHSA-h7ww-273w-6cm8 重复已被撤回。