GrapesJS संस्करण [x] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? एज, मोज़िला प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक एनए बग का वर्णन करें अंडरस्कोर <=1.13.7 गंभीरता: उच्च अंडरस्कोर <=1.13.7 गंभीरता: उच्च अंडरस्कोर में .flatten और .isEqual में असीमित रिकर्सन है,...
artf
रिपोर्ट @tiburciomzt के लिए धन्यवाद बम्प को मर्ज कर दिया गया था और जल्द ही जारी किया जाएगा।
GJS Helper
grapesjs में underscore भेद्यता (GHSA-qpx9-hpmf-5gmw) के संबंध में आपने जो समस्या बताई है, वह मान्य है और 1.13.8 से पहले के underscore संस्करणों में उच्च-गंभीरता DoS भेद्यता से संबंधित है। यह भेद्यता असीमित रिकर्सन के कारण .flatten और .isE...
GrapesJS संस्करण [x] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? क्रोम 143.0.7499.193 प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक https://grapesjs.com/demo.html बग का वर्णन करें नमस्कार। बग को कैसे पुन: उत्पन्न करें? GrapeJS को JS फ़ाइल में आयात करें/नोड env: सख्त स...
GJS Helper
GrapesJS, एक गतिशील वेब बिल्डर के रूप में अपने स्वभाव से, शैलियों को इंजेक्ट करने और डीओएम में हेरफेर करने पर निर्भर करता है, जो वास्तव में सामग्री सुरक्षा नीति (सीएसपी) के उल्लंघन का कारण बन सकता है, खासकर आपके जैसे बहुत सख्त नियमों के सा...
GrapesJS संस्करण 0.22.14 (2025-11-20 तक नवीनतम रिलीज़) अपेक्षित व्यवहार क्या है? ट्री स्थापित करने के GrapesJS में कोई बहिष्कृत निर्भरता नहीं है (या उन्हें बदलने पर मार्गदर्शन/रोडमैप)। वर्तमान व्यवहार क्या है? grapesjs@ 0.22.14 स्थापित करने से npm/pnpm बहिष्करण चेतावनी का उत्सर्जन होता है क्योंकि यह बैकबोन[email protected]...
GJS Helper
GrapesJS स्थापित करते समय [email protected] के लिए बहिष्करण चेतावनी निर्भरता रखरखाव के संबंध में एक वैध चिंता है। आइए स्थिति का विश्लेषण करें और GrapesJS उपयोगकर्ताओं के लिए इसका क्या अर्थ है। मूल कारण: बहिष्कृत निर्भरता GrapesJS वर्तमान...
कोडबेस वर्तमान में पुरानी निर्भरताओं पर निर्भर करता है। इस टिकट का उद्देश्य है: सभी मौजूदा निर्भरताओं को उनके नवीनतम स्थिर संस्करणों में अपडेट करें। भविष्य में निर्भरताओं की स्वचालित रूप से जांच करने और उन्हें अपडेट करने के लिए डिपेंडबॉट सेट करें। निर्भरताओं को अद्यतित रखने से सुरक्षा, प्रदर्शन और अन्य उपकरणों और पुस्...
GJS Helper
परियोजना निर्भरता को अद्यतन रखना सुरक्षा, प्रदर्शन और अनुकूलता के लिए महत्वपूर्ण है। एक GrapesJS प्रोजेक्ट के लिए, जो आमतौर पर Node.js और एनपीएम/यार्न का उपयोग करता है, इसमें दो-आयामी दृष्टिकोण शामिल है: प्रारंभिक मैन्युअल अपडेट और फिर डिप...
GrapesJS संस्करण [X] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? एज v122 प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक https://jsfiddle.net/bwreyq29/1/ बग का वर्णन करें बग को कैसे पुन: उत्पन्न करें? इस लिंक को खोलें https://jsfiddle.net/bwreyq29/1/ और src विशेषता से ज...
bernesto
मुझे लगता है कि प्री-पार्सर विकल्प वास्तव में एक अच्छा विचार है। यह प्रति फीचर अवधारणा 'प्लग-इन' से चिपक जाता है। स्ट्रिंग एलिमेंट आईडी या बूलियन को स्वीकार करने के लिए fromElement को अपडेट करने के बारे में कैसे। यदि बूल == true है, तो कंट...
artf
@bernesto से पूरी तरह सहमत हूं, वास्तव में इससे कोई फर्क नहीं पड़ता कि हम इसे सुरक्षित बनाने की कितनी कोशिश करते हैं, यह कभी भी पर्याप्त नहीं होगा और मैं यह धारणा नहीं देना चाहता कि पुस्तकालय एक लापता सर्वर-साइड सत्यापन को सही ठहराने के लि...
bernesto
सक्रिय DOM तत्व से लोड करने के लिए fromElement का उपयोग करते समय यह अपरिहार्य है। पृष्ठ का तत्व समकालिक रूप से लोड और निष्पादित होता है। GrapesJS कभी भी XSS html को संसाधित करने और निष्क्रिय करने का मौका नहीं मिलेगा। दुर्भावनापूर्ण कोड को...
GrapesJS संस्करण [X] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? क्रोम v102 प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक https://jsfiddle.net/szLp8h4n बग का वर्णन करें बग को कैसे पुन: उत्पन्न करें? किसी भी घटक का चयन करेंचयनकर्ता प्रबंधक में वर्ग का नाम जोड़ें जैसे <...
artf
रिपोर्ट के लिए धन्यवाद, अगली रिलीज में तय किया जाएगा।
Rawne
इस XSS बग में भी चल रहा है। उदाहरण के लिए, किसी घटक की कक्षाओं में "><img src=x onerror=alert('XSS')> जोड़ने से यह पॉप अप भी हो जाएगा।
GrapesJS संस्करण [X] मैं GrapesJS के नवीनतम संस्करण का उपयोग करने की पुष्टि करता हूं आप किस ब्राउज़र का उपयोग कर रहे हैं? क्रोम 97.0.4692.71 प्रतिलिपि प्रस्तुत करने योग्य डेमो लिंक https://jsfiddle.net/ovrz5ug2/4/ बग का वर्णन करें हाय - हम मल्टीप्लेयर प्रकार के परिदृश्य में GrapesJS का उपयोग करते समय इस XSS भेद्यता मे...
artf
धन्यवाद @diemkay यदि आपके पास कोई सुझाव है तो कृपया इस मुद्दे को देखें: https://github.com/artf/grapesjs/issues/3082
diemkay
@artf धन्यवाद, लेकिन मैंने पहले ही उस टिकट को देखा है और यह उस मुद्दे को कवर नहीं करता है जिसका मैं यहां वर्णन कर रहा हूं। इंजेक्शन लाइव पूर्वावलोकन में नहीं है, यह स्टाइल मैनेजर में है, जहां यह .innerHtml सेट करके घटक के id को प्रदर्शित क...
artf
हाँ क्षमा करें, बहुत जल्दी 😁 बंद हो गया। मैं अगली रिलीज के लिए ठीक करने का प्रयास करूंगा।
GrapesJS कोड XSS मुद्दों के लिए खुला है क्योंकि मान भागने के बिना DOM में डाले जाते हैं, उदाहरण के लिए https://github.com/artf/grapesjs/blob/dev/src/assetmanager/view/AssetImageView.js#L30 यदि model.getFilename() <img src=x onerror=alert(document.cookie)>.jpg लौटाता है, तो इसके परिणामस्वरूप खाता अधिग्रहण हो सकता है। इ...
aimeos
@artf आपकी क्या योजनाएं हैं क्योंकि XSS के लिए GrapesJS की भेद्यता एक बहुत बड़ी सुरक्षा समस्या है
artf
हाँ, रिपोर्ट के लिए धन्यवाद @aimeos मैं इसे निश्चित रूप से अगले संस्करण में ठीक कर दूंगा
aimeos
@artf दस्तावेज़ीकरण अक्सर टेम्प्लेट में चर डालने के लिए ${var} का भी उपयोग करता है। इसे इस बात से बचने के लिए भी बदला जाना चाहिए कि डेवलपर्स बिना जाने सुरक्षा मुद्दों को भी पेश करें।
संभावित हमले की सतह को कम करने के लिए यदि संपादक का उपयोग "शत्रुतापूर्ण" वातावरण में किया जाता है (उदाहरण के लिए सास प्लेटफॉर्म में) तो सीएसपी के लिए समर्थन की आवश्यकता होती है। इससे https://github.com/artf/grapesjs/issues/3082 जैसी समस्याओं को भी रोका जा सकेगा फिलहाल, एकमात्र समस्या जो प्रभावी सीएसपी नियमों को रोकती...
artf
ठीक है, मैं इसे अगली रिलीज के लिए ठीक करने का प्रयास करूंगा।
artf
मम्म मुझे यकीन नहीं है कि मैं इसे कैसे ठीक कर सकता हूं और is the use of new Function() in the GrapesJS code से आपका क्या मतलब है क्योंकि स्रोत में ऐसी कोई चीज नहीं है?
aimeos
पता चला कि यह underscore.js template() विधि के कारण dist फ़ाइलों में है जो new Function() का उपयोग करता है। मुझे लगता है कि इससे 'असुरक्षित-eval' के बिना CSP को लागू करने के लिए उस निर्भरता को बदलना या हटाना मुश्किल हो जाएगा।