关键漏洞信息 漏洞类型 XSS (跨站脚本攻击): 在 CharInsert 扩展的伪造 strip 项标记中存在此漏洞。 影响范围 MediaWiki-Parser: 该漏洞与 MediaWiki 解析器相关，涉及伪造的 strip 项标记。 漏洞描述 伪造 strip 项标记: 攻击者可以通过伪造的 strip 项标记创建一个链接，点击链接会执行任意 JavaScript 代码。 示例代码: 解决方案 代码修复: - 提交了 和 来修复该漏洞，已在后续版本中应用。 - 限制未剥离标记的原始用途，以避免循环漏洞，并在推送无标记文本时进行进一步处理。 关联对象与变化 GitLab 相关变更: - 相连对象: 严重程度 Normal: 该漏洞的严重程度被标记为正常。 其他信息 相关讨论: - 通过各种注释和补丁上传，参与者讨论了可能的修补策略和对未来解析器变更的建议。 - 最初建议立即将修复合并到版本 1.18.2，并在后续版本中保持修复。 - 目前缓和了对 Wikipedia 的影响，但建议进一步审查可能的版本影响和临时变化。 该任务已经关闭，并且修复程序在引用的参考文件中可用。