首先感谢yangff的发现，其次目前已经消除此问题，再次如果您希望了解该漏洞的详细情况可以继续:

Example: [XSSTEST](javascript:alert%28%22xss%22%29)

原理: evil URI not filtered

修复: 我们对markdown输出的HTML进行二次过滤避免了这个问题

影响: 微弱 (无法窃取用户的SESSION，但存在潜在威胁)

Vijos欢迎大家以正规方式挖掘和发现安全漏洞。