Values are not escaped
@artf Was sind Ihre PlĂ€ne, denn die Verwundbarkeit von GrapesJS gegenĂŒber XSS ist ein ziemlich groĂes Sicherheitsproblem
Lesen Sie die vollstĂ€ndige Antwort unten âFrage
GrapesJS-Code ist fĂŒr XSS-Probleme anfĂ€llig, weil Werte in DOM eingefĂŒgt werden, ohne zu entweichen, z. B. https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 Wenn 'model.getFilename()' '<img src=x onerror=alert(document.cookie)>.jpg' zurĂŒckgibt, kann dies zu einer KontoĂŒbernahme fĂŒhren. Stattdessen sollte der Code zum Beispiel lauten: Ăhnliches Problem ist hier https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L15 und die Lösung wĂ€re dasselbe: Um auf der Speicherseite zu sein, muss alles, was in HTML-Code eingeschleust wird, e...
Antworten (4)
@artf Was sind Ihre PlĂ€ne, denn die Verwundbarkeit von GrapesJS gegenĂŒber XSS ist ein ziemlich groĂes Sicherheitsproblem
Ja, danke fĂŒr den Bericht @aimeos ich werde es auf jeden Fall in der nĂ€chsten Version beheben.
@artf Die Dokumentation verwendet auch hĂ€ufig '${var}', um Variablen in Vorlagen einzufĂŒgen. Dies sollte auch geĂ€ndert werden, um zu vermeiden, dass Entwickler Sicherheitsprobleme ohne dessen Wissen einfĂŒhren.
Danke, dass du das gemeldet hast, @aimeos. Sicherheits- und AbhĂ€ngigkeitsfragen sind wichtig. Das GrapesJS-Team arbeitet aktiv daran, AbhĂ€ngigkeiten aktuell zu halten. FĂŒr dich gerade jetzt: FĂŒhre 'npm audit fix' aus, um verfĂŒgbare Patches zu sehen PrĂŒfen Sie nach einer neueren GrapesJS-Version, di...
Verwandte Fragen und Antworten
FĂŒhre die Forschung mit Ă€hnlichen Themendiskussionen fort.
Problem #3235
"component:update" wird nicht ausgelöst, wenn Komponenten verschoben werden
Entnommen von https://github.com/artf/grapesjs/blob/dev/src/editor/index.js#L33 'component:update' â Wird ausgelöst, wenn eine Komponente a...
Problem #3618
Style manager size not setting to image control
WARNUNG LIES und FOLGE den nÀchsten 3 Schritten, dann ENTFERNE SIE vor dem Posten des Problems Befolgen Sie die BEITRAGENDEN Richtlinien ht...
Problem #5746
ColorPicker-Offset ist falsch, wenn die Panels auĂerhalb des Editor-Containers sind
GrapesJS-Version [X] Ich bestÀtige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrome v122 Reproduzierbarer...
Problem #3181
SelectorManager not return a String but an Object
Version:0.16.30 Kannst du den Fehler aus der Demo reproduzieren? [1] Ja Was ist das erwartete Verhalten?* SelectorManager.getState() soll g...
Kostenpflichtige Plugins, die diesem Problem entsprechen
Kuratiert nach Themen-SchlĂŒsselwörtern und Label-Relevanz, damit Sie schneller liefern.
Lade: Empfehlungen fĂŒr kostenpflichtige Plugins...
ĂberprĂŒfen Sie die Open-Source-GrapesJS-Plugins auf GitHub Oder suchen Sie schnell in unserem kostenlosen Katalog.
Durchstöbere kostenlose Plugins âPremium-Plugins werden mit Support, regelmĂ€Ăigen Updates und produktionsreifen Funktionen geliefert â das spart Tage an Integrationsarbeit.
Durchsuchen Sie Premium-Plugins âVerwandte Tutorials
Tiefgehende Anleitungen zum gleichen Thema.
Tutorial
Introducing Search on GJS.Market
GJS.Market now has one search across everything we publish â plugins, articles, community questions, guides, authors and services. Press âK from any page.
Tutorial
Wie viel kostet es, 2026 einen SaaS-Page Builder zu bauen?
Wie viel kostet es, einen SaaS-Seitenbauer im Jahr 2026 zu erstellen? Entdecken Sie realistische Entwicklungskosten, ZeitplÀne, Funktionen und wie die Nutzung G
Tutorial
PageKit: Die GrapesJS Anwendung, die du sowieso bauen mĂŒsstest
Eine quellenbasierte Next.js -App rund um den Open-Source- GrapesJS Kern â Veröffentlichen, benutzerdefinierte Domains, Leads, Checkout und ein Plugin-Loader.
Durchsuchen Sie Plugin-Kategorien
Springe direkt zu den Plugin-Kategorieseiten im Marktplatz.