Vulnerabilidad XSS mediante atributos de componentes
Gracias @diemkay por favor consulta este problema si tienes alguna sugerencia: https://github.com/artf/grapesjs/issues/3082
Lee la respuesta completa abajo ↓Pregunta
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome 97.0.4692.71 Enlace de demo reproducible https://jsfiddle.net/ovrz5ug2/4/ Describe el bicho Hola, nos encontramos con esta vulnerabilidad XSS usando GrapesJS en un escenario multijugador, con varios usuarios privilegiados que pueden hacer cambios en plantillas y componentes a través del editor (es decir, no desarrolladores). En la práctica, esto les hace vulnerables a un ataque desde dentro de la organización, donde un usuario añade código malicioso y otro puede encontrarlo y ejecutarlo. ¿...
Respuestas (4)
Gracias @diemkay por favor consulta este problema si tienes alguna sugerencia: https://github.com/artf/grapesjs/issues/3082
@artf Gracias, pero ya he visto esa multa y no cubre el problema que describo aquí.
La inyección no está en Vista Previa en Vivo, está en el Gestor de Estilos, donde intenta mostrar el 'id' del componente configurando '.innerHtml'.
Sí, perdón, cerré demasiado pronto 😁. Intentaré arreglarlo para la próxima entrega.
Gracias por informar de esto, @diemkay. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' para ver los parches disponibles Busca una versión más reciente de...
Preguntas y respuestas relacionadas
Continúa investigando con debates sobre temas similares.
Issue #4411
XSS al añadir el nombre de la clase al Selector Manager
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome v102 Enlace de demo reproducible h...
Issue #6096
La caja redimensionable desaparece al volver a seleccionar componentes
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome Enlace de demo reproducible https:...
Issue #5990
Cuando eliminas un componente, las clases duplicadas entre componentes se eliminan.
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome 126.0.6478.127 (Windows) Enlace de...
Issue #4576
Al hacer clic en 'envolver para estilo' afecta los componentes internos de otros componentes dentro del mismo cuadro de texto
Versión GrapesJS[X] Confirmo que se debe usar la última versión de GrapesJS¿Qué navegador usas? Chrome 104.0.5112.101 Enlace de demo reprod...
Plugins de pago que cumplen con este problema
Seleccionado por temas clave y relevancia de etiquetas para ayudarte a enviar más rápido.
Cargando recomendaciones de plugins de pago...
Consulta los plugins de código abierto de GrapesJS en GitHub O haz una búsqueda rápida en nuestro catálogo gratuito.
Explora plugins gratuitos →Los plugins premium incluyen soporte, actualizaciones regulares y funciones listas para producción — ahorrando días de trabajo de integración.
Explora plugins premium →Tutoriales relacionados
Guías detalladas sobre el mismo tema.
Tutorial
Messaging on gjs.market: talk to a studio before you buy, not after
We've launched private messaging between buyers and studios. One thread per buyer–studio pair, the whole history in one place.
Tutorial
GrapesJS DevTools: A Developer Panel Inside Your Editor
If you've ever debugged GrapesJS with console.log(editor.getSelected()) and a dozen throwaway event listeners — this post is for you.
Tutorial
How to Build a Production GrapesJS Editor: The Complete Walkthrough of Brief, Preset, Plugins, and Services
A complete walkthrough of building a production GrapesJS editor: how to choose a preset, pick plugins, and scope setup services without burning a sprint.
Explorar categorías de plugins
Ve directamente a las páginas de categorías de plugins en el marketplace.