XSS when add class name to Selector Manager
Gracias por el informe, se corregirá en la próxima versión.
Lee la respuesta completa abajo ↓Pregunta
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome v102 Enlace de demo reproducible https://jsfiddle.net/szLp8h4n Describe el bicho ¿Cómo reproducir el bicho?Seleccionar cualquier componenteAñadir el nombre de la clase al Selector Manager como '<a href="#"onclick='alert(123)'>check</a>'Después de hacer clic en el nombre de la clase, recibiste la alerta ¿Cuál es el comportamiento esperado? El nombre de la clase debería evitarse ¿Cuál es el comportamiento actual? JavaScript ejecuta en nombre de clase ¿Necesitas añadir una función de escape a...
Respuestas (4)
Gracias por el informe, se corregirá en la próxima versión.
También me estoy encontrando con este bug de XSS. Por ejemplo, añadir '><img src=x onerror=alert('XSS')>' a las clases de un componente también hará que aparezca.
¡Muchas gracias!
Gracias por informar de esto, @zgeist. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' para ver los parches disponibles Busca una versión más reciente de G...
Preguntas y respuestas relacionadas
Continúa investigando con debates sobre temas similares.
Issue #4076
XSS vulnerability via component attributes
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome 97.0.4692.71 Enlace de demo reprod...
Issue #6096
La caja redimensionable desaparece al volver a seleccionar componentes
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome Enlace de demo reproducible https:...
Issue #4310
Style Manager es inexacto cuando se usan selectores CSS combinados, que contienen "bout" y componentFirst = true
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome 100 Enlace de demo reproducible ht...
Issue #5990
Cuando eliminas un componente, las clases duplicadas entre componentes se eliminan.
Versión GrapesJS [X] Confirmo que se debe usar la última versión de GrapesJS ¿Qué navegador usas? Chrome 126.0.6478.127 (Windows) Enlace de...
Plugins de pago que cumplen con este problema
Seleccionado por temas clave y relevancia de etiquetas para ayudarte a enviar más rápido.
Cargando recomendaciones de plugins de pago...
Consulta los plugins de código abierto de GrapesJS en GitHub O haz una búsqueda rápida en nuestro catálogo gratuito.
Explora plugins gratuitos →Los plugins premium incluyen soporte, actualizaciones regulares y funciones listas para producción — ahorrando días de trabajo de integración.
Explora plugins premium →Tutoriales relacionados
Guías detalladas sobre el mismo tema.
Tutorial
Introducing Search on GJS.Market
GJS.Market now has one search across everything we publish — plugins, articles, community questions, guides, authors and services. Press ⌘K from any page.
Tutorial
Cómo construir un creador de páginas impulsado por IA con GrapesJS en 2026
Lo que aprendimos construyendo GJSDocs — desde la simple generación de texto con IA hasta la edición visual estructurada y consciente del contexto
Tutorial
¿Cuánto cuesta construir un creador de páginas SaaS en 2026?
¿Cuánto cuesta crear un creador de páginas SaaS en 2026? Explora los costes realistas de desarrollo, los plazos, las funciones y cómo el uso de GrapesJS puede r
Explorar categorías de plugins
Ve directamente a las páginas de categorías de plugins en el marketplace.