XSS在选择器管理器中添加类名时
问题
葡萄JS版本
- 我确认使用最新版本的GrapesJS
你用的是什么浏览器？
Chrome v102
可复制演示链接
描述一下那个虫子
如何复现这个漏洞？
- 选择任意组件
- 在选择器管理器中添加类名，比如“<a href=”#“onclick='alert（123）'>check</a>'
- 点击职业名称后，你收到了提示
预期的行为是什么？ 类别名称应避免使用
目前的行为是什么？ 类名中的JavaScript运行
需要在模板 https://github.com/artf/grapesjs/blob/dev/src/selector_manager/view/ClassTagView.ts#L13 中添加逃脱功能
行为准则
- 我同意遵守本项目的行为准则
回答（4）
感谢你的报告，下次版本会修复。
我还遇到了这个XSS的bug。例如，在组件的类中添加“><img src=x onerror=alert（'XSS'）>'，它也会弹出。
非常感谢！
感谢你报告，@zgeist。 安全和依赖性问题很重要。GrapesJS 团队积极致力于保持依赖系统的更新。 为你现在： 运行“npm审计修复”以查看可用的补丁 查看是否有更新的GrapesJS版本，可能已经解决了这个问题 如有稳定版，升级前先测试最新稳定版 如果漏洞非常严重，可以使用“npm audit fix --force”，但请务必彻底测试 理解风险： 在GitHub安全公告中查看具体漏洞详情 并非所有高严重性问题都会影响你的代码路径 某些漏洞仅在特定条件下触发 保持最新： 关注GrapesJS的新发布 订阅仓库的安全通知 团队在发布周期中优先考虑安全更新
相关问答
通过相似的问题讨论继续研究。
问题 #4076
XSS通过组件属性的漏洞
葡萄JS版本 [X] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome 97.0.4692.71 可复制演示链接 https://jsfiddle.net/ovrz5ug2/4/ 描述一下那个虫子 你好——我们在多人游戏场景中使用 GrapesJS 时遇...
问题 #5720
传播组件默认值在引入子注释时可能会破坏层
葡萄JS版本 [X] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ Chrome v122 可复制演示链接 https://jsfiddle.net/n38vbktg/ 描述一下那个虫子 如何复现这个漏洞？创建一个组件，传播包含可分层=true的默认值。在“有能力...
问题 #3465
更新会破坏一些CSS功能
警告 请阅读并遵循接下来的三步，然后在发布问题前删除它们遵守贡献指南 https://github.com/artf/grapesjs/blob/master/CONTRIBUTING.md先快速搜索一下，看看有没有人没开同样的问题所有相关陈述/问题都必须填写/回答，否则问题可...
问题 #4765
官方的解析@keyframes方法并不起作用
葡萄JS版本[X] 我确认使用最新版本的GrapesJS你用的是什么浏览器？ Chrome v107描述一下那个虫子 如何复现这个漏洞？按照[这里]（https://grapesjs.com/docs/guides/Custom-CSS-parser.html#rule-obj...
与此问题匹配的付费插件
根据问题关键词和标签相关性精选，助你更快交付。
正在加载付费插件推荐……
相关教程
关于同一主题的深入指南。
教程
GrapesJS DevTools: A Developer Panel Inside Your Editor
If you've ever debugged GrapesJS with console.log(editor.getSelected()) and a dozen throwaway event listeners — this post is for you.
教程
How to Build a Production GrapesJS Editor: The Complete Walkthrough of Brief, Preset, Plugins, and Services
A complete walkthrough of building a production GrapesJS editor: how to choose a preset, pick plugins, and scope setup services without burning a sprint.
教程
Big Updates: TinyMCE 8 and Placeholder 2.0 for GrapesJS
In May we shipped major updates to two of our most popular GrapesJS plugins — TinyMCE Inline Text Editor and Placeholder.
浏览插件分类
直接跳转到市场上的插件分类页面。