在自己的 wiki 上塞想要的 HTML 元素

自己的 wiki (MediaWiki) 是唯一的作者，所以 XSS 類的問題就先暫時不考慮，目標是增加 元素可以讓我引用外部字型，也就是我希望用 @import url()。 一開始找到的是 Extension:CSS，但從程式碼裡面的 Hooks.php 這邊可以看到不允許 @import，就只好放掉... 後來找到的是 Extension:HTML Tags 這套，裝好後設定允許 這個標籤，就可以塞東西進去了，但這個方法還是有不少 security risk，主要還是因為我是唯一的作者才能這樣玩。 現在可以在頁面上直接讀一堆 fonts 進來玩了... …

https://blog.gslin.org/archives/2025/04/26/12368/%e5%9c%a8%e8%87%aa%e5%b7%b1%e7%9a%84-wiki-%e4%b8%8a%e5%a1%9e%e6%83%b3%e8%a6%81%e7%9a%84-html-%e5%85%83%e7%b4%a0/

iX-Workshop: OWASP® Top 10 – Sicherheitsrisiken für Webanwendungen verstehen

Lernen Sie die wichtigsten Sicherheitslücken in Web-Anwendungen kennen und erfahren Sie, wie Sie sich erfolgreich schützen können.

https://www.heise.de/news/iX-Workshop-OWASP-R-Top-10-Sicherheitsrisiken-fuer-Webanwendungen-verstehen-10354176.html?wt_mc=sm.red.ho.mastodon.mastodon.md_beitraege.md_beitraege&utm_source=mastodon

Exacerbating Cross-Site Scripting: The Iframe Sandwich

Demonstrates how embedding a vulnerable subdomain in an iframe can escalate XSS attacks to the main site context.

https://coopergyoung.com/exacerbating-cross-site-scripting-the-iframe-sandwich/