Files
Learn_System/frontend
Maxim Dolgolyov 95fee1d8c5 fix(security): убрать stored-XSS в блоке columns урока (Спринт1 #4)
Блок columns хранит rich-HTML из мини-редактора и рендерился сырым в innerHTML
(единственный неэкранированный блок) — учитель мог внедрить <img onerror>/script,
исполняемый у каждого ученика (кража JWT из localStorage). Добавлен санитайзер
sanitizeRichHtml (инертный template + вырезание on*/script/iframe/javascript:),
сохраняет форматирование, но блокирует исполнение.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-06-12 21:56:46 +03:00
..