依赖性：grapesjs >=0.21.13 依赖于易受攻击的下划线版本
问题
GrapesJS 版本
- 我确认使用最新版本 GrapesJS
你用的是什么浏览器？
Edge，mozilla
可复制演示链接
匿名
描述一下那个虫子
下拍<=1.13.7
严重程度：高
下拍<=1.13.7
严重程度：高
Underscore在_.flatten和_.isEqual中具有无限递归，潜在的DoS攻击——https://github.com/advisories/GHSA-qpx9-hpmf-5gmw
修复可通过 npm audit fix --force
将安装 [email protected]，这是个破坏性的变更
node_modules/下划线
grapesjs >=0.21.13
这取决于underscore的脆弱版本
node_modules/grapesjs
行为准则
- 我同意遵守本项目的行为准则
回答（2）
谢谢你的报告@tiburciomzt
该凸起已合并，并将很快发布。
你提到的grapesjs中underscore漏洞（GHSA-qpx9-hpmf-5gmw）的问题是合理的，涉及1.13.8之前underscore版本中的高严重度DoS漏洞。由于无限递归，该漏洞影响.flatten和.isEqual功能。 根本原因 GrapesJS本身并不会以通常暴露该漏洞的方式直接依赖underscore的核心功能。然而，underscore是GrapesJS的传递依赖。具体来说，GrapesJS依赖于backbone.js（例如[email protected]中的backbone@^1.4.1），backbone.js又依赖于underscore（例如undersco...
相关问答
通过相似的问题讨论继续研究。
问题 #3443
Backbone-undo/underscore security advisory
版本： v0.17.3 你能重现演示中的bug吗？[x] 是的[ ] 不 预期的行为是什么？ 见下文 目前的行为是什么？ 嵌套依赖使用的某个underscore版本存在已知的安全漏洞。 当前版本的grapejs利用了backbone-undo ^0.2.5 https://gi...
问题 #4411
XSS when add class name to Selector Manager
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome v102 可复制演示链接 https://jsfiddle.net/szLp8h4n 描述一下那个虫子 如何复现这个漏洞？选择任意组件像 <a href="#"onclic...
问题 #3286
Codemirror custom keys and addons
有没有办法为内置的 Codemirror 编辑器添加快捷键和插件？我特别想要一个评论快捷键。 有各种插件使用Grapesjs编辑器，包括 https://github.com/artf/grapesjs/issues/324#issuecomment-330571539 和自定...
问题 #6211
递归过多
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Firefox 131.0.2 可复制演示链接 https://grapesjs.com/demo-newsletter-editor.html 描述一下那个虫子 如何复现这个漏洞？进入...
与此问题匹配的付费插件
根据问题关键词和标签相关性精选，助你更快交付。
正在加载付费插件推荐……
相关教程
关于同一主题的深入指南。
教程
PageKit：你无论如何都得自己开发 GrapesJS 应用
一个围绕开源GrapesJS核心的源代码可用Next.js应用——发布、自定义域名、潜在客户、结账和插件加载器。
教程
Lighthouse for GrapesJS：无需离开编辑器即可访问审计和SEO。
Live WCAG 2.1/2.2 无障碍审计员 + GrapesJS 的 SEO 经理。每个发现都绑定在具体组件上——点击选择，然后一键修复。
教程
GrapesJS DevTools：编辑器内的开发者面板
如果你曾经用console.log（editor.getSelected（））和十几个一次性事件听众调试过GrapesJS——这篇文章就是为你准备的。
浏览插件分类
直接跳转到市场上的插件分类页面。