CVE-2019-17427 持久性 XSS 验证概念
在 Redmine 3.4.11 之前版本以及 4.0.x 中早于 4.0.4 的版本中，由于纺织标记格式化错误，存在持久性 XSS 漏洞。
该漏洞本质上存在于任何默认使用纺织标记格式的 wiki 页面中。你可以通过使用 <pre 参数来利用它。
<pre onfocusin=alert("pwnd") tabindex=1 style="height:500px;width:500px;" class=
要充分利用此漏洞，你可以链式使用 poc.txt（其中包含 XSS 示例有效载荷）来启用 API，从而实现 SQL 注入能力 https://github.com/RealLinkers/CVE-2019-18890
