主干网-撤销/下划线安全建议
问题
版本： 'v0.17.3' 你能重现演示中的bug吗？[x] 是的[ ] 不 预期的行为是什么？ 见下文 目前的行为是什么？ 嵌套依赖中使用的“underscore”版本中存在已知的安全漏洞。 当前版本的“葡萄”使用“backbone-undo”^0.2.5” https://github.com/artf/grapesjs/blob/d7f773202c72710dd787e2ce418c114c9ef81986/package.json#L20 最新版本是通过['npm']（https://www.npmjs.com/package/backbone-undo?activeTab=versions）实现的“0.2.5” 'backbone-undo' 的 '0.2.5' 版本对[下划线版本]（https://github.com/osartun/Backbone.Undo.js/blob/d04ee132f4fd00b0f8b3e8b8a5364257f9f3f4c7/package.json#L25）有固定限制;“下谱”：“1.4.4 - 1.8.3” 根据这份咨询 https://github.com/advisories/GHSA-cf4h-3jhx-xvhq，该网站似乎存在脆弱性 'backbone-undo' 的 '0.2.6' 版本会 [update this]（...
回答（4）
我也在想是否需要“骨干撤销”，或者可以用类似的替代。这个套餐已经6年没更新了
这个套餐已经6年没更新了
嗯，除了更新依赖（比如出于安全考虑），它是一个功能完整的库，不需要添加或更新其他东西。
总之，这个[PR]（https://github.com/artf/grapesjs/pull/3439）似乎修复了.lock级别的安全漏洞，但我不确定它们是否会保留在全新安装中。 我知道纱线有针对这种情况的“解决”，但不确定NPM里有没有其他替代方案。
谢谢你的回复总之，这个 [PR]（https://github.com/artf/grapesjs/pull/3439） 似乎修复了 .lock 级别的安全漏洞，但我不确定它们是否会保留在全新安装中。 我觉得这可能会修复主“grapejs”仓库里的版本，但我不确定它是否限制了通过“backbone-undo”导入的版本。 如果你通过以下方式建立一个全新的项目 新的“Yarn.lock”仍会引用两个版本;
谢谢你报告，@chilled水豚。 安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。 为你现在： 运行“npm审计修复”以查看可用的补丁 查看是否有更新的GrapesJS版本，可能已经解决了这个问题 如有稳定版，升级前先测试最新稳定版 如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试 理解风险： 在GitHub安全公告中查看具体漏洞详情 并非所有高严重性问题都会影响你的代码路径 某些漏洞仅在特定条件下触发 保持最新： 关注GrapesJS的新发布 订阅仓库的安全通知 团队在发布周期中优先考虑安全更新
相关问答
通过相似的问题讨论继续研究。
问题 #6723
依赖性：grapesjs >=0.21.13 依赖于易受攻击的下划线版本
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Edge，mozilla 可复制演示链接 匿名 描述一下那个虫子 下拍<=1.13.7 严重程度：高 下拍<=1.13.7 严重程度：高 Underscore在.flatten和.isEq...
问题 #5743
Iframe 属性 src 中的 XSS 漏洞
葡萄JS版本 [X] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Edge v122 可复制演示链接 https://jsfiddle.net/bwreyq29/1/ 描述一下那个虫子 如何复现这个漏洞？ 打开此链接 [https://jsfiddle.net/...
问题 #6687
依赖：主干撤销已弃用（NPM）——有什么替代方案吗？
GrapesJS版本 0.22.14（最新版本截至2025-11-20） 预期的行为是什么？ GrapesJS 安装树中没有弃用依赖（或替换指南/路线图）。 现在的行为如何？ 安装[email protected]会发出npm/pnpm弃用警告，因为它依赖于backbone-un...
问题 #4411
XSS在选择器管理器中添加类名时
葡萄JS版本 [X] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome v102 可复制演示链接 https://jsfiddle.net/szLp8h4n 描述一下那个虫子 如何复现这个漏洞？选择任意组件在选择器管理器中添加类名，比如“<a href=...
与此问题匹配的付费插件
根据问题关键词和标签相关性精选，助你更快交付。
正在加载付费插件推荐……
相关教程
关于同一主题的深入指南。
教程
Lighthouse for GrapesJS: Audit Accessibility and SEO Without Leaving the Editor
Live WCAG 2.1/2.2 accessibility auditor + SEO manager for GrapesJS. Every finding is bound to the exact component — click to select, then one-click fix.
教程
GrapesJS DevTools: A Developer Panel Inside Your Editor
If you've ever debugged GrapesJS with console.log(editor.getSelected()) and a dozen throwaway event listeners — this post is for you.
教程
Find the Right GrapesJS Plugin in Seconds: Smarter Discovery Is Live
We're shipping a set of discovery upgrades. New label filters, a proper compatibility switch for GrapesJS vs Studio, one-click and a smarter sort bar.
浏览插件分类
直接跳转到市场上的插件分类页面。