घटक विशेषताओं के माध्यम से XSS भेद्यता

त्वरित उत्तरद्वारा artf

धन्यवाद @diemkay यदि आपके पास कोई सुझाव है तो कृपया इस मुद्दे को देखें: https://github.com/artf/grapesjs/issues/3082

प्रश्न

GrapesJS संस्करण [X] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? क्रोम 97.0.4692.71 प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक https://jsfiddle.net/ovrz5ug2/4/ बग का वर्णन करें हाय - हम मल्टीप्लेयर प्रकार के परिदृश्य में GrapesJS का उपयोग करते समय इस XSS भेद्यता में भाग गए, कई विशेषाधिकार प्राप्त उपयोगकर्ता संपादक (यानी, गैर-देव) के माध्यम से टेम्पलेट्स और घटकों में परिवर्तन करने में सक्षम हैं। प्रभावी रूप से, यह उन्हें संगठन के भीतर से एक हमले के लिए कमजोर बनाता है, जहां एक उपयोगकर्ता दुर्भावनापूर्ण कोड जोड़ता है, और एक अलग उपयोगकर्ता इसे...

जवाब (4)

artf• 17 जनवरी 2022

diemkay• 18 जनवरी 2022

@artf धन्यवाद, लेकिन मैंने पहले ही उस टिकट को देखा है और यह उस मुद्दे को कवर नहीं करता है जिसका मैं यहां वर्णन कर रहा हूं।

इंजेक्शन लाइव पूर्वावलोकन में नहीं है, यह स्टाइल मैनेजर में है, जहां यह .innerHtml सेट करके घटक के id को प्रदर्शित करने का प्रयास करता है।

artf• 19 जनवरी 2022

हाँ क्षमा करें, बहुत जल्दी 😁 बंद हो गया। मैं अगली रिलीज के लिए ठीक करने का प्रयास करूंगा।

GJSBlock• 17 मई 2026

यह रिपोर्ट करने के लिए धन्यवाद, @diemkay । सुरक्षा और निर्भरता के मुद्दे महत्वपूर्ण हैं। GrapesJS टीम निर्भरता को अद्यतित रखने पर सक्रिय रूप से काम करती है। अभी आपके लिए: उपलब्ध पैच देखने के लिए npm audit fix चलाएँ एक नए GrapesJS संस्करण की जाँच करें जो पहले ही इसे संबोधित कर चुका हो सकता है यदि उप...

GitHub पर पूरी चर्चा देखें →