PageKit — 可自托管的 GrapesJS 建站工具，附完整源码。 获取抢先体验

GrapesJS 问题

已收录 3,464 个 GitHub 问题 — 370 个已解决 · 90 个待解决 搜索、筛选并探索经过实战检验的答案。

找到 12 个问题

🔍 security
#67232026年3月5日作者 tiburciomzt2 个回答
2 个反应
依赖缺陷提问安全

依赖性：grapesjs >=0.21.13 依赖于易受攻击的下划线版本

GrapesJS 版本 [x] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Edge，mozilla 可复制演示链接 匿名 描述一下那个虫子 下拍<=1.13.7 严重程度：高 下拍<=1.13.7 严重程度：高 Underscore在.flatten和.isEqual中具有无限递归，潜在的DoS攻击——https://github.com/advisories/GHSA-qpx9-hpmf-5gmw 修复可通过 npm audit fix --force 将安装 [email protected]，这是个破坏性的变更 nodemodules/下划线 grapesjs >=0.21.13 这取决于underscore...

artf

谢谢你的报告@tiburciomzt 该凸起已合并，并将很快发布。

GJS Helper

你提到的grapesjs中underscore漏洞（GHSA-qpx9-hpmf-5gmw）的问题是合理的，涉及1.13.8之前underscore版本中的高严重度DoS漏洞。由于无限递归，该漏洞影响.flatten和.isEqual功能。 根本原因 GrapesJS本身并不会以通常暴露该漏洞的方式直接依赖underscore的核心功能。然而，underscore是GrapesJS的传递依赖。具体来说，GrapesJS依赖于backbone.js（例如grapesjs@0....

查看详情
#66902026年1月16日作者 HavokInspiration1 个回答
0 个反应
安全画布style-manager提问缺陷

CSP违规

GrapesJS版本 [x] 我确认使用最新版本GrapesJS 你用的是什么浏览器？ Chrome 143.0.7499.193 可复制演示链接 https://grapesjs.com/demo.html 描述一下那个虫子 你好。 如何复现这个漏洞？ 导入 JS 文件 / Node env 中的 GrapeJS ： 在使用严格CSP规则的网页上，例如： 这样做会导致大量关于内联样式的CSP违规。 问题所在 我们正在考虑在SaaS产品的重大更新中使用GrapeJS，然而，我们面临着关于自由库和CSP规则的一个大问题。 我们的安全主管要求非常严格的CSP政策，而GrapeJS违反了这些政策。为了让GrapeJS与我们的基础规则正常...

GJS Helper

GrapesJS作为动态网页构建器，本质上依赖注入样式和操控 DOM，这确实可能导致内容安全政策（CSP）违规，尤其是在像你这样严格的规则下。让我们拆解这些问题并提出解决方案。 根本原因分析 <style>标签注入（style-src-elem违反）： GrapesJS动态创建<style>元素以注入 CSS 规则，例如编辑器界面、画布 iframe 的基础样式以及组件特定样式（尤其是在启用 forceClass 时）。如果这些动态创建的 <style> 标签没有 nonc...

查看详情
#66872026年1月13日作者 rhaarhoff1 个回答
0 个反应
依赖提问增强安全undo-manager

依赖：主干撤销已弃用（NPM）——有什么替代方案吗？

GrapesJS版本 0.22.14（最新版本截至2025-11-20） 预期的行为是什么？ GrapesJS 安装树中没有弃用依赖（或替换指南/路线图）。 现在的行为如何？ 安装[email protected]会发出npm/pnpm弃用警告，因为它依赖于[email protected]（在npm上弃用）。 繁殖步骤 PNPM [email protected]（或 NPM I [email protected]） 注意主干网[email protected]的弃用警告 补充背景 这本身不是漏洞报告;这是维护/支持风险（供应链问题）。 相关历史问题：#3443 涉及下划线咨询路径;本报告专门讨论软件包弃用状态。 问题：是否有计划移除或替换骨干...

GJS Helper

安装GrapesJS时对[email protected]的弃用警告是关于依赖维护的一个合理担忧。让我们来分析一下情况及其对GrapesJS用户的影响。 根本原因：弃用依赖 GrapesJS 目前利用 backbone-undo 作为其核心的撤销/重做功能。该库提供了管理编辑器内更改历史的底层机制，允许用户回退或重新应用操作。backbone-undo包本身在 npm 上被标记为弃用，安装时会触发警告。 影响与风险评估 虽然弃用警告通常应被认真对待，但backbone-...

查看详情
#60492024年8月7日作者 danstarns1 个回答
0 个反应
安全性能常规

依赖关系

目前代码库依赖于过时的依赖关系。该票旨在： 将所有现有依赖更新到最新的稳定版本。 设置Dependabot，未来自动检查和更新依赖。 保持依赖系统的更新将提升安全性、性能以及与其他工具和库的兼容性。Dependabot 将确保依赖保持最新，减少手动更新的需求。

GJS Helper

保持项目依赖的更新对安全性、性能和兼容性至关重要。对于GrapesJS项目，通常使用Node.js和npm/yarn，这需要双管齐下的方法：最初手动更新，然后用Dependabot自动化后续更新。 1.手动更新现有依赖 在设置Dependabot之前，最好将所有当前依赖都恢复到最新的稳定版本。这个过程是任何Node.js项目的标准流程。 第一步：检查包裹是否过期 在终端中导航到项目的根目录，并运行： 该命令将列出你所有依赖及其当前、需要和最新版本。要密切关注主要版本差异，因...

查看详情
#57432024年3月11日作者 davidgabrichidze4 个回答
5 个反应
提问安全画布缺陷增强

Iframe 属性 src 中的 XSS 漏洞

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Edge v122 可复制演示链接 https://jsfiddle.net/bwreyq29/1/ 描述一下那个虫子 如何复现这个漏洞？ 打开此链接 [https://jsfiddle.net/bwreyq29/1/]（https://jsfiddle.net/bwreyq29/1/），附带到 src 属性上的 JavaScript 代码将被自动执行。 预期的行为是什么？ 这段代码不应该运行 目前的行为如何？ 存在XSS漏洞行为准则 [X] 我同意遵守本项目的行为准则

bernesto

我觉得预读解析师这个选项是个很好的主意。它坚持“按功能插入”的概念。 那更新“fromElement”以接受字符串元素ID或布尔值怎么样？如果 bool == true，则和现在一样，解析容器 HTML。 如果字符串 ID，它会使用元素的内容，容器则像现在一样成为编辑器。然后我们可以更新文档，支持HTML脚本模板用于开发。这样可以防止刹车变化，并促进正确的使用。 “''js const editor = Grapesjs.init（{ 容器：“#gjs”， fromElem...

artf

完全同意@bernesto的观点，无论我们多么努力让它安全，都永远不够，我也不想让人觉得库“非常安全”，以至于缺少服务器端验证。 当前选项（例如“allowUnsafeAttr”、“allowUnsafeAttrValue”）只避免了基本的常见内容。

bernesto

使用“fromElement”从激活的DOM元素加载时，这种情况是不可避免的。页面元素同步加载和执行。GrapesJS 永远没有机会处理和解除 XSS 的 html。 这个问题需要通过阻止恶意代码永远加载来解决。这应该在服务器存档时处理。但如果客户端需要处理，可以通过用脚本标签包裹代码，然后在加载到编辑器前对代码进行净化，就像这样： https://jsfiddle.net/bernesto/5gcxa0jm/1/ 我确实看到，在初始化时通过“components”属性加载...

查看详情
#44112022年6月27日作者 zgeist4 个回答
2 个反应
提问组件缺陷安全style-manager

XSS when add class name to Selector Manager

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome v102 可复制演示链接 https://jsfiddle.net/szLp8h4n 描述一下那个虫子 如何复现这个漏洞？选择任意组件像 <a href="#"onclick='alert(123)'>check</a>一样在选择器管理器中添加类别名称 点击职业名称后，你收到了提示 预期的行为是什么？ 类别名称应避免使用 目前的行为是什么？ 类名中的JavaScript运行 需要在模板 https://github.com/artf/grapesjs/blob/dev/src/selector_manager/view/Cla...

artf

感谢你的报告，下次版本会修复。

Rawne

我还遇到了这个XSS的bug。例如，在组件的类中添加“><img src=x onerror=alert（'XSS'）>'，它也会弹出。

zgeist

非常感谢！

查看详情
#40762022年1月17日作者 diemkay4 个回答
0 个反应
提问安全style-manager组件缺陷

XSS vulnerability via component attributes

GrapesJS 版本 [X] 我确认使用最新版本 GrapesJS 你用的是什么浏览器？ Chrome 97.0.4692.71 可复制演示链接 https://jsfiddle.net/ovrz5ug2/4/ 描述一下那个虫子 你好——我们在多人游戏场景中使用 GrapesJS 时遇到了这个 XSS 漏洞，几个有权限的用户可以通过编辑器（即非开发者）对模板和组件进行修改。实际上，这使他们容易受到组织内部的攻击，一个用户添加了恶意代码，另一个用户可能发现并运行它。 如何复现这个漏洞？在组件的 id 属性中添加恶意代码，可以直接在HTML中或通过特征管理器（并保存）——在这里， id="<details/open/ontoggle...

artf

谢谢@diemkay如果你有任何建议，请参考这个问题：https://github.com/artf/grapesjs/issues/3082

diemkay

@artf 谢谢，但我已经看过那个工单了，它并没有涵盖我这里描述的问题。 注入不在实时预览中，而是在样式管理器中，它尝试通过设置“.innerHtml”来显示组件的“id”。

artf

是的，抱歉，关得太早😁了。我会试着在下一个版本修复。

查看详情
#35962021年7月6日作者 aimeos4 个回答
0 个反应
缺陷文档安全style-manager

Values are not escaped

GrapesJS 代码存在 XSS 问题，因为值插入 DOM 时不会逃逸，例如 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 如果“model.getFilename（）”返回“<img src=x onerror=alert（document.cookie）>.jpg'，可能会导致账户被接管。相反，代码应当是例如： 这里也有类似的问题 https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L15，...

aimeos

@artf 你的计划是什么？因为GrapesJS对XSS的脆弱性是一个相当严重的安全问题

artf

是的，谢谢你的报告@aimeos我一定会在下一版里修正

aimeos

@artf 文档中还经常使用“${var}'来在模板中插入变量。这也应该改变，以避免开发者在不知情的情况下引入安全问题。

查看详情
#35582021年6月22日作者 aimeos4 个回答
2 个反应
安全增强提问typescript

Support Content-Security-Policy

为了减少在“敌对”环境中（如SaaS平台）中使用编辑器时可能的攻击面，必须支持CSP。这也能防止类似的问题 https://github.com/artf/grapesjs/issues/3082 目前，唯一阻碍有效 CSP 规则的问题是 GrapesJS 代码中使用了“new Function（）”，这需要 CSP 规则为“unsafe-eval”。 有没有其他实现方式？

artf

好的，那我会试着在下一个版本修复它。

artf

嗯，我不太确定具体怎么修复，你说“GrapesJS代码中是否使用新Function（）”是什么意思？因为源代码里没有这个。

aimeos

后来发现它在dist文件里是因为underscore.js template（）方法，它使用了“new Function（）”。我认为这将使得在没有“不安全评估”的情况下替换或移除强制执行CSP的依赖变得困难。

查看详情
#34812021年5月25日作者 zgeist4 个回答
4 个反应
安全依赖常规

Update underscore lib to 1.13.*

当前版本存在安全问题 可能是更新到最新版本

igorstasiuk

是的 +1，需要更新到最新的 Underscore 版本

artf

大家好，我把这封邮件作为#3443的重复关闭

kirill-malyhin

渗透测试后也需要修正！

查看详情

浏览所有主题