テンプレート名称が投稿画面でエスケープされていない

[nyoronjp]

システム設定>テンプレート>追加

テンプレート名称にHTMLタグ記述し保存。

投稿画面の種類でエスケープされずHTMLが解釈されている。

scriptタグも使えました。

<script>alert(1);</script>

管理者しかテンプレート追加ができないので仕様だったらすいません。

[koda-masaru]

管理者が登録する部分はご指摘の通り、HTMLのエスケープをわざとしていない所があります。
（例えばアナリティクスの設定とか。明示的にスクリプトを登録出来るようにしています。）
この部分も、別にいらないかなと思ってそのままにしたのですが、そこまで意味があるわけでもありません。
次のバージョンでは、エスケープするようにしようと思います。

[nyoronjp]

管理画面のXSS対策ってどこまでやるべきかの判断って難しいですね。イントラ内で使うものだと特に。
アナリティクスの設定だと全体に反映できるJavaScriptやCSS書けて便利ですし。

投稿で種類をbookmarkにし、URLにjavascript:alert(1)と入力すればクリックすることでアラート出せます。

これも想定した使い方なんでしょうか？

[koda-masaru]

む、、、
これは、エスケープ漏れですね（ユーザが登録する部分はエスケープ対象）
次のバージョンまでに修正します。

[nyoronjp]

Knowledge v1.11.0 pre2

I confirmed.
Thanks.