एचटीएमएल को रोकने के लिए चार एचआर विषयों में पैकेज शीर्षक

शिप

7 अगस्त 2026 को 12:57 am बजे UTC

लेखक

Kamo

Commit

2b63262

ईमेलटेम्पलेट सर्विस एक टेम्पलेट के SUBJECT और BODY को एक चर से प्रदान करती है नक्शा, और सभी चार canonical HR विषयों में {{packageTitle}} — जो LegalNotificationRecorder HTML-escapes, क्योंकि समान परिवर्तनीय है एचटीएमएल बॉडी में प्रतिस्थापित जहां एक मानव-लेखित शीर्षक अविश्वासित मार्कअप है। परिणामस्वरूप मेल हेडर में मार्कअप भेज दिया गया: "कर्मचारी की हैंडबुक" के रूप में पहुंचे "कर्मचारियों की हैंडबुक" और "स्वास्थ्य और सुरक्षा" के रूप में "स्वास्थ्य और सुरक्षा", में कानूनी रूप से महत्वपूर्ण संदेश की विषय पंक्ति। दो उपयोगों को दो अलग-अलग मूल्यों की आवश्यकता होती है, इसलिए अब दो चर होते हैं। The शरीर बची हुई पैकेज टिटल रखता है। विषय पैकेज लेते हैंTitlePlain, जो unescaped है - और CR/LF-stripped, क्योंकि विषय एक जगह है एक पैकेज का शीर्षक हेडर तक पहुंच जाता है और एक नई लाइन में RFC 5322 हेडर होता है। इंजेक्शन, कुछ HTML escaping के बारे में कुछ भी नहीं है। संसाधन और परीक्षण केवल; कोई स्कीमा, कोई संस्करण परिवर्तन नहीं।.