通过 `createBrowserHistory` 返回的历史对象上的 `push` 方法可以允许任意的 JS 执行

嘿,伙计们! 如果 `push` 所提供的输入未经过清理,则可以在用户上下文中执行任意 JS。 我们最初在 `@reach/router` 中遇到了这个问题,但这个包中似乎也存在相同的问题。