Values are not escaped
@artf ¿Cuáles son tus planes? Porque la vulnerabilidad de GrapesJS a XSS es un problema de seguridad bastante grande
Lee la respuesta completa abajo ↓Pregunta
El código GrapesJS está abierto a problemas con XSS porque los valores se insertan en el DOM sin escapar, por ejemplo, https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 Si 'model.getFilename()' devuelve '<img src=x onerror=alert(document.cookie)>.jpg', esto puede resultar en una toma de control de la cuenta. En su lugar, el código debería ser, por ejemplo: Problema similar aquí https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L15 y la solución serían iguales: Para ser parte del lado guardado, todo lo que se inyecta en código...
Respuestas (4)
@artf ¿Cuáles son tus planes? Porque la vulnerabilidad de GrapesJS a XSS es un problema de seguridad bastante grande
Sí, gracias por el informe, @aimeos lo arreglaré en la próxima versión seguro.
@artf La documentación también utiliza '${var}' para insertar variables en plantillas con frecuencia. Esto también debería cambiarse para evitar que los desarrolladores introduzcan problemas de seguridad sin saberlo.
Gracias por informar de esto, @aimeos. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' para ver los parches disponibles Busca una versión más reciente de G...
Preguntas y respuestas relacionadas
Continúa investigando con debates sobre temas similares.
Issue #3618
Style manager size not setting to image control
ADVERTENCIA LEE y SIGUE los siguientes 3 pasos, luego ELIMÍNALOS antes de publicar el número Seguir las Directrices de CONTRIBUCIÓN https:/...
Issue #3235
"component:update" no se activa cuando se mueven componentes
Extraído de https://github.com/artf/grapesjs/blob/dev/src/editor/index.js#L33 'component:update' - Se activa cuando un componente se actual...
Issue #3261
How to customise the grapes js form to append style
ADVERTENCIA LEE y SIGUE los siguientes 3 pasos, luego ELIMÍNALOS antes de publicar el númeroSeguir las Directrices de CONTRIBUCIÓN https://...
Issue #5746
El desplazamiento de ColorPicker incorrecto cuando los paneles están fuera del contenedor del editor
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome v122 Enlace de demo reproducible h...
Plugins de pago que cumplen con este problema
Seleccionado por temas clave y relevancia de etiquetas para ayudarte a enviar más rápido.
Cargando recomendaciones de plugins de pago...
Consulta los plugins de código abierto de GrapesJS en GitHub O haz una búsqueda rápida en nuestro catálogo gratuito.
Explora plugins gratuitos →Los plugins premium incluyen soporte, actualizaciones regulares y funciones listas para producción — ahorrando días de trabajo de integración.
Explora plugins premium →Tutoriales relacionados
Guías detalladas sobre el mismo tema.
Tutorial
Introducing Search on GJS.Market
GJS.Market now has one search across everything we publish — plugins, articles, community questions, guides, authors and services. Press ⌘K from any page.
Tutorial
¿Cuánto cuesta construir un creador de páginas SaaS en 2026?
¿Cuánto cuesta crear un creador de páginas SaaS en 2026? Explora los costes realistas de desarrollo, los plazos, las funciones y cómo el uso de GrapesJS puede r
Tutorial
PageKit: la GrapesJS aplicación que tendrías que construir de todas formas
Una aplicación de Next.js disponible en el código fuente alrededor del núcleo de GrapesJS de código abierto — publicación, dominios personalizados, contactos, c
Explorar categorías de plugins
Ve directamente a las páginas de categorías de plugins en el marketplace.