С практической точки да, я с вами согласен на 110%.
Но этот legacy модуль используется везде. И в админке и на веб морде для клиентов и в API интеграциях. Переделывать его для поддержки Markdown не представляется возможным. Уже само присутствие такого кода в core production приложения свидельствует о том, что в компании всё на вчера и за небольшие деньги. Никто не будет тратить ресурсы на обеспечение какой-то там секьюрити или тем более best practices.
К сожалению, пока база клиентов не поедет на теневые форумы, никто пальцем об палец не ударит.
К тому-же, у нас куча мест, где поддерживается заголовок `Accept: text/html`, а он просто рендерит шаблоны из данных из базы. Я не знаю, есть ли там вообще хоть какая-то санитизация.
В общем, вопрос скорее не о том, "как нужно", а об эксплойте. И, скорее не для улучшения ситуации (зачем мне это нужно, если никому не нужно? Серьезность я объяснял всем по 100 раз. Они сделали выбор), а из азарта.
Записи находились на внутреннем накопителе. Да, уже думал нести восстанавливать к экспертам. Но каким-то чудом эти записи синхронизировались с моим новым Xaomi. Видимо, я их синхронизировал вместе с аккаунтом ещё раньше. Первым делом перед всеми манипуляциями я отключил аккаунты на старом Xaomi и удаление не синхронизировалось. Повезло короче. Удивительно сколько защитных механизмов нужно преодолеть, чтобы что-то окончательно удалить.
WordPress, MySQL, jQuery 3.7.0, Bootstrap 4.5.2
Хостинг
WP Engine