#67232026年3月5日作者 tiburciomzt2 个回答
GrapesJS 版本 [x] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Edge，mozilla 可复制演示链接 匿名 描述一下那个虫子 下拍<=1.13.7 严重程度：高 下拍<=1.13.7 严重程度：高 Underscore在.flatten和.isEqual中具有无限递归，潜在的DoS攻击——https://github.com/advisories/GHSA-qpx9-hpmf-5gmw 修复可通过 npm audit fix --force 将安装 [email protected]，这是个破坏性的变更 nodemodules/下划线 grapesjs >=0.21.13 这取决于underscore...
artf
谢谢你的报告@tiburciomzt 该凸起已合并，并将很快发布。
GJS Helper
你提到的grapesjs中underscore漏洞（GHSA-qpx9-hpmf-5gmw）的问题是合理的，涉及1.13.8之前underscore版本中的高严重度DoS漏洞。由于无限递归，该漏洞影响.flatten和.isEqual功能。 根本原因 GrapesJS本身并不会以通常暴露该漏洞的方式直接依赖underscore的核心功能。然而，underscore是GrapesJS的传递依赖。具体来说，GrapesJS依赖于backbone.js（例如grapesjs@0....
#66872026年1月13日作者 rhaarhoff1 个回答
GrapesJS版本 0.22.14（最新版本截至2025-11-20） 预期的行为是什么？ GrapesJS 安装树中没有弃用依赖（或替换指南/路线图）。 现在的行为如何？ 安装[email protected]会发出npm/pnpm弃用警告，因为它依赖于[email protected]（在npm上弃用）。 繁殖步骤 PNPM [email protected]（或 NPM I [email protected]） 注意主干网[email protected]的弃用警告 补充背景 这本身不是漏洞报告;这是维护/支持风险（供应链问题）。 相关历史问题：#3443 涉及下划线咨询路径;本报告专门讨论软件包弃用状态。 问题：是否有计划移除或替换骨干...
GJS Helper
安装GrapesJS时对[email protected]的弃用警告是关于依赖维护的一个合理担忧。让我们来分析一下情况及其对GrapesJS用户的影响。 根本原因：弃用依赖 GrapesJS 目前利用 backbone-undo 作为其核心的撤销/重做功能。该库提供了管理编辑器内更改历史的底层机制，允许用户回退或重新应用操作。backbone-undo包本身在 npm 上被标记为弃用，安装时会触发警告。 影响与风险评估 虽然弃用警告通常应被认真对待，但backbone-...
#65582025年7月3日作者 arustagi1011 个回答
GrapesJS版本 [x] 我确认使用最新版本的GrapesJS 你用的是什么浏览器？ 版本 138.0.7204.50（官方构建）（arm64） 可复制演示链接 https://jsfiddle.net/artur_arseniev/L24hkgm5/ 描述一下那个虫子 如何复现这个漏洞？ 添加图层管理器，并使用“grapesjs”：“0.22.8”或“0.22.9”的依赖关系。“0.22.7” 运行正常 预期的行为是什么？ 在图层部分设置组件不可见，反之亦然，也就是说，将不可见变成可见应该可以。 目前的行为是什么？ 在“0.22.8”和“0.22.9”版本中，“隐形”转“可见”在点击图层部分的组件时无法工作。 如果需要执行某...
GJS Helper
你已经准确识别出GrapesJS版本0.22.8和0.22.9中图层管理器的可见性切换从“隐形”切换到“可见”时没有正常工作。“可见”切换到“隐形”的切换功能正常，但恢复可见性失败了。 根本原因 这个问题是GrapesJS 0.22.8年引入的一个已知错误。它源于Component模型内部upVisible方法在切换visible属性时处理display CSS属性的方式发生了变化。具体来说，当组件被设置为不可见时，会应用display: none。然而，当尝试重新使其可见...
#62112024年10月11日作者 jlafosse4 个回答
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Firefox 131.0.2 可复制演示链接 https://grapesjs.com/demo-newsletter-editor.html 描述一下那个虫子 如何复现这个漏洞？进入 grapesjs 演示，然后导入以下 html：打开浏览器控制台。快速多次点击图片。 预期的行为是什么？ 应该能正常工作，没有错误。 目前的行为是什么？ 这会导致 FireFox 出现递归错误。Chrome 似乎不受此问题影响。我正在 OSX 13.6.9 上测试，并附上了一段简短的屏幕录制。 我怀疑问题来自以下函数： https://github.com...
artf
嘿，@jlafosse谢谢你的报告。 我不认为最新版本会有这个问题： <img width=“123” alt=“截图 2024-10-21 19 00 04” src=“https://github.com/user-attachments/assets/ff074a31-cd19-4547-bb27-596c92e16d64”> 你能再试着再检查一次吗？
#59232024年5月31日作者 MarceloBD2 个回答
GrapesJS 版本[X] 我确认使用最新版本 GrapesJS你用的是什么浏览器？ Firefox 126.0.1可复制演示链接 https://grapesjs.com/demo.html描述一下那个虫子 如何复现这个漏洞？打开你的Firefox浏览器，进入演示链接 预期的行为是什么？ 编辑器应该会显示一个带有组件的白色屏幕画布。应该可以拖拽组件到屏幕中。 目前的行为是什么？ 编辑器是灰色的，且没有任何组件可见。无法拖放组件。点击图层菜单时会报错。 有时候它在匿名标签页上也加载不了，但有时会。非常奇怪的行为。我正在检查代码是否能解开它。 行为准则[X] 我同意遵守本项目的行为准则
nhan-nguyen-se
@MarceloBD 你是怎么解决这个问题的？我也遇到同样的问题。
GJS Helper
看起来你在GrapesJS中遇到了一个间歇性bug，特别是影响加载和Firefox图层面板。点击图层菜单时的TypeError: model is undefined是一个关键线索，指向编辑器初始化时存在的竞争条件。 根本原因解释 这种间歇性行为最可能的原因，是GrapesJS编辑器初始化过程中出现的竞赛条件。以下是详细说明： 组件模型加载：GrapesJS依赖其DomComponents模块管理画布上的所有组件（元素）。这些组件由骨干模型表示。 图层面板渲染：图层面板（L...
#57422024年3月11日作者 bernesto4 个回答
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome v122 可复制演示链接 无 描述一下那个虫子 如何复现这个漏洞？将git检查到Windows 10+机器上按照提供的流程构建。 预期的行为是什么？ 它应该和*inx系统一样建造。 目前的行为是什么？ 该构建因引用 Backbone 的错误而失败： 环境： 这个“可能”和 GrapesJS CLI 有关，我不确定，因为webpack.config.js的改动似乎tsconfig.json没有影响。 我也尝试过直接组装，但似乎 Backbone 可能在使用 cash-dom 而不是 jquery时遇到问题。 这次遇到瓶颈了。 行...
bernesto
是的，我做了所有常规的事情。锁定文件、更新、各种导入方式（{}、require、*、full path 等） 不知道为什么，但我弄坏东西的时候，会弄得很厉害。永远是2级或3级辅助，哈哈。 我确实认为问题出在CLI，或者......配合 Backbone-Undo。也许是路径相关的，或者是符号链接，或者...... ̄\(ツ)/ ̄ 总之，我明白“时间”的含义。我已经花了太多时间了，如果你有兴趣告诉我，哈哈
bernesto
说得好。我还没试过其他版本的Node。我会试试这个方法。
artf
是的，构建/服务是由CLI管理的（我们把问题移到那里），但我不确定问题出在哪里（因为没有Windows可以测试🥲）。
#51542023年5月31日作者 jmtt894 个回答
GrapesJS版本 [X] 我确认使用最新版本GrapesJS 你用的是什么浏览器？ ---- 可复制演示链接 https://codesandbox.io/p/sandbox/pensive-browser-mfhxp8 描述一下那个虫子 如何复现这个bug？创建Angular项目添加grapeJS依赖关系在TSCONFIG中包含"allowSyntheticDefaultImports": true（用于骨干网）为GrapeJS 创建包装组件 在项目中使用包装组件 预期的行为是什么？ 渲染GrapeJS编辑器目前的行为如何？ 构建时就坏了 行为准则 [X] 我同意遵守本项目的行为准则
marktamis
我把一些tsconfig设置从一个正在运行的vite gjs项目复制到我的stenciljs项目里，现在它运行正常了。我觉得你需要对你的 Angular TSCONFIG 做些调整，这样它就不会再抛出错误了 下面是我正在运行的 Stencilsjs TSCONFIG： 似乎正是这个功能让编译成为可能的原因
Deepakanandrao
“skipLibCheck”：true， “skipLibCheck”： true “”成功了。谢谢@marktamis 👍
artf
是的，在我找到该TS输出😞的修复之前，这里需要用“skipLibCheck”： true”
#51492023年5月29日作者 jchautreux4 个回答
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ 全部都没有，bug出在构建过程中 可复制演示链接 没必要 描述一下那个虫子 如何复现这个漏洞？ 使用 NPM 安装 GrapesJS 以便在 TypeScript 项目中使用。 根据文档，要设置非命名插件的选项，我们必须定义如下 init： 预期的行为是什么？ 项目建设顺利进行 目前的行为是什么？ 该版本因以下错误而失败： A computed property name must be of type 'string', 'number', 'symbol', or 'any'. 供参考 我们可以使用命名插件，但这种做法是将“弃用”标记为...
artf
这似乎和 https://github.com/microsoft/TypeScript/issues/35945 有关 作为一个临时的变通方法，你可以先这样做： “''js pluginsOpts： { [myPlugin.toString（）]： { customField： 'customValue' } }
artf
添加了辅助工具[这里]（https://github.com/GrapesJS/grapesjs/commit/7d5d074e4d2735245541bfcbaad666e7bc37ea56）（我稍后也会更新文档中的使用情况）
#48542023年1月19日作者 mnutt4 个回答
GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Firefox 109 可复制演示链接 没有 描述一下那个虫子 如何复现这个漏洞？ 预期的行为是什么？ 开发服务器启动。 目前的行为是什么？ 我用的是 node v16.18.1（MacOS），虽然在 node 14 和 node 18 上也出现了同样的结果。是不是我做错了什么明显的问题？ 行为准则 [X] 我同意遵守本项目的行为准则
mnutt
是的，我也能用“grapesjs-style-filter”重现，同样的错误类型。
mnutt
我通过修改构建流程，通过“--targets=”“> 3%”'来绕过了这个错误，但由于使用es6类，这会导致骨干错误。
artf
我这边用全新安装无法复现，你用的是开发分支吗？
#46822022年10月22日作者 nabtron4 个回答
GrapesJS 版本[X] 我确认使用最新版本 GrapesJS你用的是什么浏览器？ 铬106可复制演示链接 本地主持描述一下那个虫子 我更新了包含 grapesjs的项目，但现在出现了这个错误： 当我运行我的项目时，会出现这个错误： 以下是module.js前两条线的特点： 我尝试安装了： 但它也失败了 请问我该怎么解决这个问题？行为准则[X] 我同意遵守本项目的行为准则
artf
你不应该尝试编译 Grapesjs 的源代码，因为源代码可能包含与捆绑包相关的内容（正如你提到的，它不是外部包）
nabtron
@artf你不应该在没看完工单前贸然关闭。 如果你看了这期，你会发现我提到“更新”时，我用 NPM I 更新了 Grapesjs 的版本，package.json 的版本改成了最新版本。 代码从0.19.4开始就坏了，因为你在modules.ts开始用.ts文件
artf
是的，我理解你只是更新了版本，但看起来你是在尝试读取 grapesjs 包的源代码，这是错误的（可能将来会删除，'src' 文件夹甚至会被移除）。