GrapesJS कोड XSS मुद्दों के लिए खुला है क्योंकि मान भागने के बिना DOM में डाले जाते हैं, उदाहरण के लिए https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 यदि model.getFilename() .jpg लौटाता है, तो इसके परिणामस्वरूप खाता अधिग्रहण हो सकता है। इसके बजाय कोड उदाहरण के लिए होना चाहिए: यहां इसी तरह की समस्या यहां /blob/dev/src/assetmanager/view/AssetImageView.js#L15 https://github.com/artf/grapesjs है और फिक्स समान होगा: एक...

अंक #3596💬 उत्तर दियाखोला गया 6 जुलाई 2021द्वारा aimeos0 प्रतिक्रियाएं

मान बच नहीं रहे हैं

त्वरित उत्तरद्वारा aimeos

@artf आपकी क्या योजनाएं हैं क्योंकि XSS के लिए GrapesJS की भेद्यता एक बहुत बड़ी सुरक्षा समस्या है

प्रश्न

GrapesJS कोड XSS मुद्दों के लिए खुला है क्योंकि मान भागने के बिना DOM में डाले जाते हैं, उदाहरण के लिए https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 यदि model.getFilename() <img src=x onerror=alert(document.cookie)>.jpg लौटाता है, तो इसके परिणामस्वरूप खाता अधिग्रहण हो सकता है। इसके बजाय कोड उदाहरण के लिए होना चाहिए: यहां इसी तरह की समस्या यहां /blob/dev/src/assetmanager/view/AssetImageView.js#L15 https://github.com/artf/grapesjs है और फिक्स समान होगा: एक सेव साइड होने के लिए, HTML कोड में इंजेक्ट की गई हर चीज से बचना होगा।

जवाब (4)

aimeos• 14 जुलाई 2021

artf• 14 जुलाई 2021

हाँ, रिपोर्ट के लिए धन्यवाद @aimeos मैं इसे निश्चित रूप से अगले संस्करण में ठीक कर दूंगा

aimeos• 14 जुलाई 2021

@artf दस्तावेज़ीकरण अक्सर टेम्प्लेट में चर डालने के लिए ${var} का भी उपयोग करता है। इसे इस बात से बचने के लिए भी बदला जाना चाहिए कि डेवलपर्स बिना जाने सुरक्षा मुद्दों को भी पेश करें।

GJSBlock• 17 मई 2026

इसकी रिपोर्ट करने के लिए धन्यवाद, @aimeos । सुरक्षा और निर्भरता के मुद्दे महत्वपूर्ण हैं। GrapesJS टीम निर्भरता को अद्यतित रखने पर सक्रिय रूप से काम करती है। अभी आपके लिए: उपलब्ध पैच देखने के लिए npm audit fix चलाएँ एक नए GrapesJS संस्करण की जाँच करें जो पहले ही इसे संबोधित कर चुका हो सकता है यदि उ...

GitHub पर पूरी चर्चा देखें →