लाइव पूर्वावलोकन में XSS भेद्यता

आप सही हैं, हमने सोचा था कि sandbox="allow-same-origin" काम करेंगे, लेकिन allow-scripts भी जरूरत है, और फिर यह सैंडबॉक्स का बिल्कुल भी उपयोग नहीं करने जैसा है। लेकिन, जो वैसे भी मददगार हो सकता है वह यह है कि grapejs उपयोगकर्ताओं को किसी तरह iframe कैनवास की विशेषताओं को नियंत्रित करने का एक तरीका प...

यदि आप सामग्री सुरक्षा नीति http हेडर का उपयोग करते हैं तो आप इस तरह के बहुत सारे XSS मुद्दों को प्राप्त कर सकते हैं। लेकिन एटीएम GrapesJS के साथ एक समस्या है जो यह है कि यह underscore.js का उपयोग करता है, जिसमें "ईवीएल" के उपयोग के साथ एक फ़ंक्शन शामिल है, इसलिए आप सीएसपी हेडर को उतना सुरक्षित नही...