symfony/ux-autocomplete: escape de texto em respostas AJAX para prevenir XSS
O controlador Stimulus agora escapa HTML no campo `text` de itens de resposta AJAX por padrão, evitando XSS armazenado.
O que mudou
O controlador Stimulus agora escapa HTML no campo `text` de itens de resposta AJAX por padrão, evitando XSS armazenado. Antes o valor era interpolado diretamente em template literals HTML sem escape. Endpoints que precisam retornar HTML podem optar com `options_as_html: true`.
Quem isso afeta
Usuários de symfony/ux-autocomplete que renderizam dropdowns de autocomplete com conteúdo fornecido pelo usuário, especialmente via dados remotos AJAX.
O que fazer hoje
Atualize para a versão corrigida (commit 842ae54bc74de389299f975f01aafae272cb0019 no branch 2.x, forward-portado para 3.x). Se você depende de retornar HTML nos itens de autocomplete, defina `options_as_html: true` no endpoint.