XSSの脆弱性 #89
Description
外部APIを叩いて取得したtoot（JSON）をパースしてそのまま表示していますが、エスケープ処理がされていないため悪意のあるJSONデータが返却された場合に任意のjavascriptを実行することが可能です。
Qiitadon以外のインスタンスも指定できる仕様ですので、外部データは常に危険であるという前提でエスケープ処理を行う必要があります。
xss payload : https://api.myjson.com/bins/158yga
{{ message }}