Мини-уязвимость в обработке ссылок

Summary

Проблема с парсингом ссылок.

В 2013 существовал баг, который позволял при нажатии на лайк к записи перенаправить пользователя по ссылке. Необходимо было закодировать любую ссылку в HTML-мнемонику типа & #***; и после публикации разметка у поста сразу ломалась. Тогда эту, со стороны безобидную, дырку залатали, но в октябре 2019 был обнаружен репост такой записи (wall-55095987_8) с рабочим багом. Оказалось, что разработчики откатили фикс и баг снова функционировал. В этот раз удалось докрутить всё это до уязвимости с выполнением вредоносного кода при наведении на ссылку.

Поэтому, проверяйте свои старые репорты, возможно, что их фикс откатили...