Iframe 属性 src 中的 XSS 漏洞

Question

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Edge v122 可复制演示链接 https://jsfiddle.net/bwreyq29/1/ 描述一下那个虫子 如何复现这个漏洞？ 打开此链接 [https://jsfiddle.net/bwreyq29/1/]（https://jsfiddle.net/bwreyq29/1/），附带到 src 属性上的 JavaScript 代码将被自动执行。 预期的行为是什么？ 这段代码不应该运行 目前的行为如何？ 存在XSS漏洞行为准则 [X] 我同意遵守本项目的行为准则

bernesto · Accepted Answer

我觉得预读解析师这个选项是个很好的主意。它坚持“按功能插入”的概念。 那更新“fromElement”以接受字符串元素ID或布尔值怎么样？如果 bool == true，则和现在一样，解析容器 HTML。 如果字符串 ID，它会使用元素的内容，容器则像现在一样成为编辑器。然后我们可以更新文档，支持HTML脚本模板用于开发。这样可以防止刹车变化，并促进正确的使用。 “''js const editor = Grapesjs.init（{ 容器：“#gjs”， fromElement： '#mySource'， 身高：“100%”， storageManager： { type： 0 }， 插件：['GJS-Blocks-BASIC'] }); ```

artf · Answer

完全同意@bernesto的观点，无论我们多么努力让它安全，都永远不够，我也不想让人觉得库“非常安全”，以至于缺少服务器端验证。 当前选项（例如“allowUnsafeAttr”、“allowUnsafeAttrValue”）只避免了基本的常见内容。

bernesto · Answer

使用“fromElement”从激活的DOM元素加载时，这种情况是不可避免的。页面元素同步加载和执行。GrapesJS 永远没有机会处理和解除 XSS 的 html。 这个问题需要通过阻止恶意代码永远加载来解决。这应该在服务器存档时处理。但如果客户端需要处理，可以通过用脚本标签包裹代码，然后在加载到编辑器前对代码进行净化，就像这样： https://jsfiddle.net/bernesto/5gcxa0jm/1/ 我确实看到，在初始化时通过“components”属性加载或从远程源动态发布时，同样存在XSS漏洞，这可能是我们想要预防的。 Personally，我认为服务器应该处理所有存档并进行净化。恶意行为者总能模拟客户端请求，并将恶意XSS保存到你的服务器，无论编辑器如何设置used. @artf你怎么看？ 你认为编辑器里应该内置XSS消毒剂吗？如果是这样，那就引出了一个问题;你对“fromElement”怎么看？是否应该像我举的例子那样重新实现，内容通过脚本标签来提供？比如，也许可以提供源（脚本模板）和目的（编辑器）元素的ID？ 这不仅能让我们净化XSS漏洞，还能省去浏览器处理...

Iframe 属性 src 中的 XSS 漏洞

问题

GrapesJS 版本

你用的是什么浏览器？

可复制演示链接

描述一下那个虫子

行为准则

回答（4）

相关问答

在画布中选择自定义组件类型无法正常工作

无法读取 Canvas 模块中空属性（读取“hasFocus”）的属性

Windows中的iframe没有定义可访问名称。

Javascript CDN 在 Grapejs Canvas 上无法使用

与此问题匹配的付费插件

相关教程

Introducing Search on GJS.Market

如何在2026年用 GrapesJS 构建AI驱动的页面构建器

2026年构建一个SaaS页面构建器需要多少钱？

浏览插件分类