link_toでXSS

github.com

link_to の第2引数に javascript:...を渡すとそのまま発火するよ。というissue。 本文には対策のdiffも添えられている。

• dofer to~
  • 〜に従う
• familiar with
  • ~に精通