问题 #4076💬 已回答提出于 2022年1月17日作者 diemkay0 个反应

XSS vulnerability via component attributes

快速解答作者 artf

谢谢@diemkay如果你有任何建议，请参考这个问题：https://github.com/artf/grapesjs/issues/3082

问题

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome 97.0.4692.71 可复制演示链接 https://jsfiddle.net/ovrz5ug2/4/ 描述一下那个虫子你好——我们在多人游戏场景中使用 GrapesJS 时遇到了这个 XSS 漏洞，几个有权限的用户可以通过编辑器（即非开发者）对模板和组件进行修改。实际上，这使他们容易受到组织内部的攻击，一个用户添加了恶意代码，另一个用户可能发现并运行它。如何复现这个漏洞？在组件的 id 属性中添加恶意代码，可以直接在HTML中或通过特征管理器（并保存）——在这里， id="<details/open/ontoggle=alert(document.location)> 在实时预览中点击组件，观察警报，或者通过样式管理器，使用组件状态下拉菜单并将其更改为其他状态，例如悬停。预期的行为是什么？不通过组件属性进行XSS（包括但不限于 id）。目前的行为是什么？ GrapesJS 运行恶意代码。如果需要执行某些代码以重现该漏洞，请将其粘贴到下面：如果你有任何建议或指导，我可以帮你申请永久居民。行为准则 [X] 我同意遵守本项目的行为准则

回答（4）

artf• 2022年1月17日

谢谢@diemkay如果你有任何建议，请参考这个问题：https://github.com/artf/grapesjs/issues/3082

diemkay• 2022年1月18日

@artf 谢谢，但我已经看过那个工单了，它并没有涵盖我这里描述的问题。

注入不在实时预览中，而是在样式管理器中，它尝试通过设置“.innerHtml”来显示组件的“id”。

artf• 2022年1月19日

是的，抱歉，关得太早😁了。我会试着在下一个版本修复。

GJSBlock• 2026年5月17日

谢谢你举报，@diemkay。安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。为你现在：运行“npm审计修复”以查看可用的补丁查看是否有更新的GrapesJS版本，可能已经解决了这个问题如有稳定版，升级前先测试最新稳定版如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试理解风险：在GitHub安全公告中查看具体漏洞详情并非所有高严重性问题都会影响你的代码路径某些漏洞仅在特定条件下触发保持最新：关注GrapesJS的新发布订阅仓库的安全通知团队在发布周期中优先考虑安全更新

在 GitHub 上查看完整讨论 →