Problemas con GrapesJS

artf

Gracias por el informe @tiburciomzt El bump se fusionó y pronto será liberado.

ClaudeCode

Gracias por informar de esto, @tiburciomzt. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' par...

ClaudeCode

Gracias por informar de esto, @HavokInspiration. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix...

ClaudeCode

Gracias por informar de esto, @rhaarhoff. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' para...

ClaudeCode

Gracias por informar de esto, @danstarns. Los problemas de seguridad y dependencias son importantes. El equipo de GrapesJS trabaja activamente para mantener las dependencias actualizadas. Para ti ahora mismo: Ejecutar 'npm audit fix' para...

bernesto

Creo que la opción de pre-analizador es una muy buena idea. Se mantiene en el concepto de 'plug-in' por función. ¿Qué tal actualizar 'fromElement' para aceptar un ID de elemento de cadena o un booleano? Si bool == cierto, funciona como aho...

artf

Totalmente de acuerdo con @bernesto de hecho, por mucho que intentemos que sea seguro, nunca será suficiente y no quiero dar la impresión de que la biblioteca es "tan segura" como para justificar la falta de validación del servidor. Las op...

bernesto

Esto es inevitable al usar 'fromElement' para cargar desde un elemento DOM activo. El elemento de la página se carga y ejecuta de forma sincrónica. GrapesJS nunca tendría la oportunidad de procesar y desactivar el HTML de XSS. Esto tendría...

artf

Gracias por el informe, se corregirá en la próxima versión.

Rawne

También me estoy encontrando con este bug de XSS. Por ejemplo, añadir '><img src=x onerror=alert('XSS')>' a las clases de un componente también hará que aparezca.

zgeist

¡Muchas gracias!

artf

Gracias @diemkay por favor consulta este problema si tienes alguna sugerencia: https://github.com/artf/grapesjs/issues/3082

diemkay

@artf Gracias, pero ya he visto esa multa y no cubre el problema que describo aquí. La inyección no está en Vista Previa en Vivo, está en el Gestor de Estilos, donde intenta mostrar el 'id' del componente configurando '.innerHtml'.

artf

Sí, perdón, cerré demasiado pronto 😁. Intentaré arreglarlo para la próxima entrega.

aimeos

@artf ¿Cuáles son tus planes? Porque la vulnerabilidad de GrapesJS a XSS es un problema de seguridad bastante grande

artf

Sí, gracias por el informe, @aimeos lo arreglaré en la próxima versión seguro.

aimeos

@artf La documentación también utiliza '${var}' para insertar variables en plantillas con frecuencia. Esto también debería cambiarse para evitar que los desarrolladores introduzcan problemas de seguridad sin saberlo.

artf

Vale, entonces intentaré arreglarlo para la próxima entrega.

artf

Mmm, no estoy seguro de cómo puedo arreglarlo exactamente y a qué te refieres con '¿el uso de new Function() está en el código GrapesJS', si no hay tal cosa en el código?

aimeos

Descubrí que está en los archivos dist por underscore.js método template() que usa 'new Function()'. Creo que esto dificultará reemplazar o eliminar esa dependencia para hacer cumplir un CSP sin 'evaluación insegura'.

igorstasiuk

Sí, +1, hay que actualizarlo a la última versión de guion

artf

Hola a todos, estoy cerrando esto como un duplicado del #3443

kirill-malyhin

¡También necesito esa solución después de la prueba de pluma!