昨晚玩wikidot的rss功能，看着原站和wikidot完全相同的样式，突然想到可以在rss内插入js代码，导入以后就可以执行了。
<content type="html" xml:base="https://example.com" xml:lang="zh-CN"><![CDATA[
<img src="xss" onerror="alert(1)">
]]></content>
在部分在线RSS阅读器上，开发者并没有过滤文本中的相关标签或仅仅是简单的过滤了script元素。
目前wikidot已修复该漏洞(你还别说，这次修的还挺快（)
