Etiqueta de cierre '</script>' no escapada para propiedades del script

Versión GrapesJS

• Confirmo que se debe usar la última versión de GrapesJS

¿Qué navegador usas?

Versión de Chrome 107.0.5304.122 (64 bits)

Enlace de demo reproducible

https://jsfiddle.net/j5khz1gm/

Describe el bicho

¿Cómo reproducir el bicho?

1. Crear un tipo de componente personalizado con las siguientes propiedades predeterminadas:

'''js { someText: "</script><svg onload='alert(1)'>", "script-props": ["algunosTexto"], script: function() { this.innerHTML = ""; } } ```

2. Añadir el componente personalizado al lienzo
3. Obtener el HTML de la página con 'editor.getHtml()'
4. Insertar el HTML en un div fuera del editor

¿Cuál es el comportamiento esperado? Esperaba que la etiqueta de script de cierre se escape en el HTML generado. No debería aparecer ningún diálogo de alerta.

¿Cuál es el comportamiento actual? La etiqueta script no se escapa. La etiqueta svg se muestra en el documento. Usar el código a continuación en un archivo HTML local siempre ejecutará 'alert(1)'. Por alguna razón, el diálogo de alerta no siempre aparece en JSFiddle.

Si es necesario ejecutar algo de código para reproducir el error, pégalo aquí abajo: '''html

<link rel="stylesheet" href="https://unpkg.com/grapesjs/dist/css/grapes.min.css"> <script src="https://unpkg.com/grapesjs"></script> <div id="uvas"></div> <div id="html"></div> <script> const editor = grapesjs.init({ contenedor: "#grapes", fromElement: cierto, storageManager: false });

editor. DomComponents.addType("my-component", { modelo: { Predeterminados: { someText: "</script><svg onload='alert(1)'>", "script-props": ["algunosTexto"], script: function() { this.innerHTML = ""; } } } });

editor.on("load", () => { editor.addComponents({ Tipo: "Mi-componente" }); document.getElementById("html").innerHTML = editor.getHtml(); }); </script>

### Código de conducta

- [X] Acepto seguir el Código de Conducta de este proyecto