XSS beim Hinzufügen des Klassennamens zum Selector Manager
Danke für den Bericht, er wird in der nächsten Version behoben.
Lesen Sie die vollständige Antwort unten ↓Frage
GrapesJS-Version [X] Ich bestätige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrome v102 Reproduzierbarer Demo-Link https://jsfiddle.net/szLp8h4n Beschreibe den Käfer Wie reproduziert man den Bug?Wählen Sie eine beliebige Komponente ausFügen Sie den Klassennamen zum Selector Manager hinzu wie '<a href="#"onclick='alert(123)'>check</a>'Nachdem du auf den Klassennamen geklickt hast, bekommst du eine Benachrichtigung Was ist das erwartete Verhalten? Der Klassenname sollte entkommen sein Wie ist das aktuelle Verhalten? JavaScript läuft im Klassennamen Muss eine Es...
Antworten (4)
Danke für den Bericht, er wird in der nächsten Version behoben.
Ich stoße auch auf diesen XSS-Bug. Zum Beispiel führt das Hinzufügen von '><img src=x onerror=alert('XSS')>' zu den Klassen einer Komponente dazu, dass es ebenfalls aufpoppt.
Vielen Dank!
Danke, dass du das gemeldet hast, @zgeist. Sicherheits- und Abhängigkeitsfragen sind wichtig. Das GrapesJS-Team arbeitet aktiv daran, Abhängigkeiten aktuell zu halten. Für dich gerade jetzt: Führe 'npm audit fix' aus, um verfügbare Patches zu sehen Prüfen Sie nach einer neueren GrapesJS-Version, di...
Verwandte Fragen und Antworten
Führe die Forschung mit ähnlichen Themendiskussionen fort.
Problem #4076
XSS-Schwachstelle über Komponentenattribute
GrapesJS-Version [X] Ich bestätige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrome 97.0.4692.71 Reproduzi...
Problem #4310
Style Manager ist ungenau, wenn er kombinierte CSS-Selektoren verwendet, die "bout" und componentFirst = true enthalten
GrapesJS-Version [X] Ich bestätige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrome 100 Reproduzierbarer D...
Problem #6458
Sector.setName funktioniert nicht
GrapesJS-Version [x] Ich bestätige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrome Reproduzierbarer Demo-...
Problem #4503
Fehlende Inline-Stile, die von CKEditor beim Hinzufügen von rohen HTML-Komponenten verwendet werden,
GrapesJS-Version [X] Ich bestätige, die neueste Version von GrapesJS zu verwenden Welchen Browser benutzt du? Chrom v96 Reproduzierbarer De...
Kostenpflichtige Plugins, die diesem Problem entsprechen
Kuratiert nach Themen-Schlüsselwörtern und Label-Relevanz, damit Sie schneller liefern.
Lade: Empfehlungen für kostenpflichtige Plugins...
Überprüfen Sie die Open-Source-GrapesJS-Plugins auf GitHub Oder suchen Sie schnell in unserem kostenlosen Katalog.
Durchstöbere kostenlose Plugins →Premium-Plugins werden mit Support, regelmäßigen Updates und produktionsreifen Funktionen geliefert – das spart Tage an Integrationsarbeit.
Durchsuchen Sie Premium-Plugins →Durchsuchen Sie Plugin-Kategorien
Springe direkt zu den Plugin-Kategorieseiten im Marktplatz.