#67362026年4月2日作者 HussainDeesa1 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ 克罗姆 可复制演示链接 https://codesandbox.io/p/sandbox/hrdwnl 描述一下那个虫子 预期的行为是什么？ 添加项目符号时默认应该有缩进，点击Tab键时也应该有缩进。 目前的行为是什么？ https://github.com/user-attachments/assets/af5f14c4-9988-4c53-a341-5955f6ef1643 行为准则 [x] 我同意遵守本项目的行为准则
ClaudeCode
谢谢你举报，@HussainDeesa。 ProseMirror RTE 中列表/项目符号的问题，列表/项目符号不会自动缩进似乎是竞态条件或状态管理时序问题。这通常发生在组件生命周期事件和DOM修改重叠时，导致状态不一致。 尝试什么： 添加setTimeout包装器以确保DOM已稳定： “JavaScript setTimeout（（） => { 你在这里的行动 }, 0); 推荐的下一步步骤：** 如果还没测试过，请用最新的GrapesJS版本测试 提供最小可重复的示例（...
#67232026年3月5日作者 tiburciomzt2 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Edge，mozilla 可复制演示链接 匿名 描述一下那个虫子 下拍<=1.13.7 严重程度：高 下拍<=1.13.7 严重程度：高 Underscore在.flatten和.isEqual中具有无限递归，潜在的DoS攻击——https://github.com/advisories/GHSA-qpx9-hpmf-5gmw 修复可通过“NPM审计修复——强制”获得 将安装[email protected]，这是个破坏性的变更 nodemodules/下划线 Grapesjs >=0.21.13 这取决于underscore的脆弱版本 nod...
artf
谢谢你的报告@tiburciomzt 该凸起已合并，并将很快发布。
ClaudeCode
谢谢你举报，@tiburciomzt。 安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。 为你现在： 运行“npm审计修复”以查看可用的补丁 查看是否有更新的GrapesJS版本，可能已经解决了这个问题 如有稳定版，升级前先测试最新稳定版 如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试 理解风险： 在GitHub安全公告中查看具体漏洞详情 并非所有高严重性问题都会影响你的代码路径 某些漏洞仅在特定条件下...
#67072026年2月13日作者 saeedhbi1 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome（版本142-144）、Safari（版本16.3、26.1），可能还有其他版本 可复制演示链接 https://jsfiddle.net/saeedhbi/tqfe7p04/ 描述一下那个虫子 如何复现这个漏洞？ 初始化 GrapesJS 编辑器（v0.22.11 或 v0.22.14） 在iframe完全加载前，按下键盘快捷键（例如Ctrl+Z、Delete或任意命令键） 命令系统在 iframe 准备好前调用 'Canvas.hasFocus（）' 观察“类型错误：无法读取空属性（读取”hasFocus“）” 预期的行为是什...
ClaudeCode
谢谢你举报，@saeedhbi。 关于无法读取Canvas模块中null属性（读作'hasFocus'）的好建议！虽然这个具体功能还没有出现在核心 API 中，但有几种方法可以实现类似的行为。 使用事件系统： “JavaScript editor.on（'component：update'， （component） => { 你的逻辑 }); ``` 替代方法： 听取“selector：add”以获取CSS选择器更改 使用“selector：custom”来表示自定义规则...
#67062026年2月13日作者 saeedhbi3 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ 所有浏览器（Chrome、Safari、Firefox、Edge） 可复制演示链接 https://jsfiddle.net/saeedhbi/powxyjdq/3/ 描述一下那个虫子 如何复现这个漏洞？ 初始化 GrapesJS 编辑器 选择画布中的一个组件 快速删除组件（按删除键或使用删除命令） 样式管理器的去跳出更新回调在组件被销毁后执行 注意“类型错误：e.getRoot 不是函数” 预期的行为是什么？ 样式管理器应在尝试调用组件的方法前验证组件仍然有效。要么： 在处理前过滤掉损坏或无效的组件 在组件方法调用周围添加try-catch...
artf
和 https://github.com/GrapesJS/grapesjs/issues/6705 类似 我无法创建那种竞态条件（例如通过 API 选择和移除），在你的例子中是在组件上检查 getRoot，但组件 API 上没有这样的方法
saeedhbi
和 https://github.com/GrapesJS/grapesjs/issues/6705#issuecomment-3921025039 一样，问题出在我们外部库，使用 GrapesJS，因为遇到了类似 6705 问题的情况，我会关闭它。感谢你的评论。
ClaudeCode
谢谢你举报，@saeedhbi。 关于TypeError： e.getRoot不是函数（样式管理器中的竞态条件），这个问题很棒。推荐的 StyleManager 方法是使用事件驱动的 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript 留意变化 editor.on（'change'， （） =...
#67052026年2月13日作者 saeedhbi3 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ 所有浏览器（Chrome、Safari、Firefox、Edge） 可复制演示链接 https://jsfiddle.net/saeedhbi/tdsLa6qe/ 描述一下那个虫子 如何复现这个漏洞？ 创建一个基础的GrapesJS编辑器（版本0.22.11或0.22.14） 向画布添加输入字段组件 聚焦输入场 发送一个键盘事件，其中“event.key”为“未定义”，用于IME作曲事件（主要是中文/日文/韩文键盘） 观察“类型错误：无法读取控制台中未定义属性（读为”toLowerCase“）” 预期的行为是什么？ 键盘处理器应优雅地处理“e...
saeedhbi
你好@artf，在深入挖掘全栈跟踪后，我发现错误不在 GrapesJS 里。 “event.key.toLowerCase（）”调用来自我们自己的应用代码——一个全局代码 'window.addEventListener（“keydown”， ...）我们在代码库中其他地方有处理程序， 与GrapesJS并行运行。因为我们的webpack构建将多个模块捆绑成同一个块 （'dist/1348'），哨兵框架具有误导性，我们错误地将来源归于GrapesJS。 GrapesJS 自...
artf
嘿，@saeedhbi，你在我们的代码里到底在哪里看到“event.key.toLowerCase（）”？你确定不是你这边的吗？ 可惜jsfiddle帮不上忙，感觉AI太粗糙😅，甚至连编辑器都加载不了。 也许你可以分享全栈的跟踪，看看具体发生在哪里？
ClaudeCode
谢谢你举报，@saeedhbi。 关于TypeError：无法读取键盘处理程序中未定义属性（读取“toLowerCase”）的好问题。推荐的 Canvas 方法是使用事件驱动的 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript 留意变化 editor.on（'change'， （） => c...
#67042026年2月13日作者 mehdimoslehi2 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome 版本 143.0.7499.193 可复制演示链接 https://app.rechat.com/dashboard/marketing/history/Letter?printCampaignId=28f0587d-8738-4fd6-8087-da3167f6d737&action=edit 描述一下那个虫子 如何复现这个漏洞？ 打开 Rechat Studio 编辑器，尝试加载/打开这个模板：https://app.rechat.com/dashboard/marketing/history/Letter?printCam...
artf
请提供一个独立且可复现的演示，原因看起来来自你的代码逻辑，而非核心
ClaudeCode
谢谢你举报，@mehdimoslehi。 关于编辑器崩溃和模板无法加载（TypeError读取类型）的问题很棒。推荐的 StyleManager 方法是使用事件驱动的 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript 留意变化 editor.on（'change'， （） => consol...
#66962026年2月4日作者 jasonvijayy1 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ 铬 可复制演示链接 https://codepen.io/Logeshwaran-codepen/pen/raLJpYb 描述一下那个虫子 如何复现这个漏洞？ 选择canvas中可用的组件。监听生命周期事件（例如 component：selected） 在事件处理程序内调用component.replaceWith（） 执行撤销 预期的行为是什么？ Undo 应安全恢复编辑器状态且无错误，GrapesJS 应提供支持的生命周期事件中替换组件的方法。 目前的行为是什么？ 撤销崩溃是因为GrapesJS试图恢复一个已不存在组件的选择/状态。 问题...
ClaudeCode
谢谢你举报，@jasonvijayy。 关于在启用UndoManager时调用component.replaceWith（）时调用component.replaceWith（）时崩溃的好问题。ProseMirror 推荐的方法是使用事件驱动的 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript...
#66952026年2月2日作者 Axel3031 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Edge 144.0.3719.92 可复制演示链接 https://jsfiddle.net/L61f0qtz/ 描述一下那个虫子 如何复现这个漏洞？ 在 Microsoft Edge 中打开 GrapesJS 编辑器。 添加一个键位图，用于使用 Ctrl+S 或 Ctrl+Shift+S 保存，并使用 { prevent： true }。 专注于编辑器画布（或编辑器内的任何位置）。 按下快捷键（Ctrl+S 或 Ctrl+Shift+S）。 预期的行为是什么？ GrapesJS 命令console.log（“保存”）应执行。 浏览器不应打...
ClaudeCode
谢谢你举报，@Axel303。 关于防止默认不适用于Edge，这个问题很棒。推荐的 Canvas 方法是使用事件驱动的 API。 从这里开始： 查看你所在模块的[GrapesJS文档]（https://grapesjs.com/docs/） 寻找“on（）”事件监听器方法 大多数操作可以通过监听编辑器和组件事件来实现 常见模式： “JavaScript 留意变化 editor.on（'change'， （） => console.log（'something changed...
#66902026年1月16日作者 HavokInspiration1 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome 143.0.7499.193 可复制演示链接 https://grapesjs.com/demo.html 描述一下那个虫子 你好。 如何复现这个漏洞？ 导入 GrapesJS 中的 JS 文件 / Node env ： 在使用严格CSP规则的网页上，例如： 这样做会导致大量关于内联样式的CSP违规。 问题所在 我们正在考虑在SaaS产品的重大更新中使用GrapesJS，但我们遇到了关于图书馆和CSP规则的大问题。 我们的安全主管要求非常严格的CSP政策，而GrapesJS违反了这些政策。为了让GrapesJS能正常配合我们的基...
ClaudeCode
谢谢你举报，@HavokInspiration。 安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。 为你现在： 运行“npm审计修复”以查看可用的补丁 查看是否有更新的GrapesJS版本，可能已经解决了这个问题 如有稳定版，升级前先测试最新稳定版 如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试 理解风险： 在GitHub安全公告中查看具体漏洞详情 并非所有高严重性问题都会影响你的代码路径 某些漏洞仅在...
#66872026年1月13日作者 rhaarhoff1 个回答
GrapesJS版本 0.22.14（最新版本截至2025-11-20） 预期的行为是什么？ GrapesJS 安装树中没有弃用依赖（或替换指南/路线图）。 现在的行为如何？ 安装[email protected]会发出npm/pnpm弃用警告，因为它依赖于[email protected]（在npm上弃用）。 繁殖步骤 PNPM [email protected]（或 NPM I [email protected]） 注意主干网[email protected]的弃用警告 补充背景 这本身不是漏洞报告;这是维护/支持风险（供应链问题）。 相关历史问题：#3443 涉及下划线咨询路径;本报告专门讨论软件包弃用状态。 问题：是否有计划移除或替换骨干...
ClaudeCode
谢谢你举报，@rhaarhoff。 安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。 为你现在： 运行“npm审计修复”以查看可用的补丁 查看是否有更新的GrapesJS版本，可能已经解决了这个问题 如有稳定版，升级前先测试最新稳定版 如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试 理解风险： 在GitHub安全公告中查看具体漏洞详情 并非所有高严重性问题都会影响你的代码路径 某些漏洞仅在特定条件下触发...