comentário de chamado injetando html #344
Description
Colocar algum html no comentário como, por exemplo,
<meta http-equiv="Refresh" content="1;url='https://www.youtube.com/watch?v=oHg5SJYRHA0'">
faz com que o comentário, na hora de ser aberto, seja processado como HTML.
O ideal seria tratar/sanitizar(?) o texto na hora de ser exibido.
Além disso, parece que existe algum excerto de código que transforma texto de link (e.g. https://www.youtube.com/watch?v=oHg5SJYRHA0) em link em HTML (e.g. <a href="https://www.youtube.com/watch?v=oHg5SJYRHA0">https://www.youtube.com/watch?v=oHg5SJYRHA0</a>). Não sei se é uma boa prática tratar o texto antes de ir para o banco.