Vulnerabilidad XSS mediante atributos de componentes

Versión GrapesJS

• Confirmo que se debe usar la última versión de GrapesJS

¿Qué navegador usas?

Chrome 97.0.4692.71

Enlace de demo reproducible

https://jsfiddle.net/ovrz5ug2/4/

Describe el bicho

Hola, nos encontramos con esta vulnerabilidad XSS usando GrapesJS en un escenario multijugador, con varios usuarios privilegiados que pueden hacer cambios en plantillas y componentes a través del editor (es decir, no desarrolladores). En la práctica, esto les hace vulnerables a un ataque desde dentro de la organización, donde un usuario añade código malicioso y otro puede encontrarlo y ejecutarlo.

¿Cómo reproducir el bicho?

1. Añadir código malicioso al atributo 'id' de un componente, ya sea directamente en HTML o a través del gestor de rasgos (y guardar) - en este caso, 'id="<details/open/ontoggle=alert(document.location)>'
2. Haz clic en el componente en la vista previa en vivo y observa la alerta O a través del Gestor de Estilos, al usar el desplegable de estado del componente y cambiarlo a otro estado, por ejemplo, pasar el cursor

¿Cuál es el comportamiento esperado? No hay XSS a través de los atributos del componente (incluyendo, pero no limitado a, 'id').

¿Cuál es el comportamiento actual? GrapesJS ejecuta el código malicioso.

Si es necesario ejecutar algo de código para reproducir el error, pégalo aquí abajo: '''js Véase arriba, añadir este código al atributo del componente, por ejemplo, ID <detalles/open/ontoggle=alerta(document.location)>

Si tienes algún consejo o recomendación, podría echarte una mano con un récord personal. 

### Código de conducta

- [X] Acepto seguir el Código de Conducta de este proyecto