GrapesJS 代码存在 XSS 问题，因为值插入 DOM 时不会逃逸，例如 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 如果“model.getFilename（）”返回“ .jpg'，可能会导致账户被接管。相反，代码应当是例如：这里也有类似的问题 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L15，解决办法是一样的：要成为存档端之一，所有注入HTML代码的内容都必须被转写。

抢先体验

PageKit — 可自托管的 GrapesJS 建站工具，附完整源码。获取抢先体验

问题 #3596💬 已回答提出于 2021年7月6日作者 aimeos0 个反应

缺陷文档安全 style-manager

Values are not escaped

快速解答作者 aimeos

@artf 你的计划是什么？因为GrapesJS对XSS的脆弱性是一个相当严重的安全问题

阅读下方完整回答 ↓

问题

GrapesJS 代码存在 XSS 问题，因为值插入 DOM 时不会逃逸，例如 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 如果“model.getFilename（）”返回“<img src=x onerror=alert（document.cookie）>.jpg'，可能会导致账户被接管。相反，代码应当是例如：这里也有类似的问题 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L15，解决办法是一样的：要成为存档端之一，所有注入HTML代码的内容都必须被转写。

回答（4）

aimeos• 2021年7月14日

@artf 你的计划是什么？因为GrapesJS对XSS的脆弱性是一个相当严重的安全问题

artf• 2021年7月14日

是的，谢谢你的报告@aimeos我一定会在下一版里修正

aimeos• 2021年7月14日

@artf 文档中还经常使用“${var}'来在模板中插入变量。这也应该改变，以避免开发者在不知情的情况下引入安全问题。

GJSBlock• 2026年5月17日

谢谢你举报，@aimeos。安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。为你现在：运行“npm审计修复”以查看可用的补丁查看是否有更新的GrapesJS版本，可能已经解决了这个问题如有稳定版，升级前先测试最新稳定版如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试理解风险：在GitHub安全公告中查看具体漏洞详情并非所有高严重性问题都会影响你的代码路径某些漏洞仅在特定条件下触发保持最新：关注GrapesJS的新发布订阅仓库的安全通知团队在发布周期中优先考虑安全更新

在 GitHub 上查看完整讨论 →