search

vektor-inc / vk-all-in-one-expansion-unit

wordpress plugin of powerful support
https://ja.wordpress.org/plugins/vk-all-in-one-expansion-unit/
GNU General Public License v2.0
7 stars 1 forks source link

Revert "[ CTA ] Change escape to only last" #907

Closed kurudrive closed 1 year ago

kurudrive commented 1 year ago

This reverts commit 0018dc53e9c0c96571cd3652e7d3c3fd3d0960ec.

チケットへのリンク / 変更の理由（元のissueがあればリンクを貼り付ければOK）

esc_attr() を通さない場合、ブロックのCSS入力欄に

" onmouseover="alert(/XSS/)" style="background:red;"

と入れるとスタイルは wp_kses_post が通してしまうため、やはり esc_attr() を通す方式に戻し