yogthos/markdown-clj

Prevent potential XSS by default

Ouverte

#188 ouverte le 12 oct. 2022

Voir sur GitHub
 (1 commentaire) (0 réaction) (0 personne assignée)Clojure (120 forks)github user discovery
bughelp wanted

Métriques du dépôt

Stars
 (570 étoiles)
Métriques de merge PR
 (Métriques PR en attente)

Description

Example markdown:

[click me](javascript:window.onerror=alert;throw%20document.URL)

Markdown clj will render:

Maybe we force folks to specify specific protocols they want to support and validate the urls? We just discovered this and haven't done much analysis at this point.

This is what other popular Java markdown tools do:

https://github.com/commonmark/commonmark-java/blob/main/commonmark/src/main/java/org/commonmark/renderer/html/DefaultUrlSanitizer.java

Note, this doesn't affect other online editors either:

https://dillinger.io/ https://stackedit.io/app# https://jbt.github.io/markdown-editor/

Guide contributeur

Direction de recherche
Inspectez le code source de markdown clj pour comprendre comment les URLs sont rendues, puis implémentez un assainisseur d'URL similaire à commonmark java, n'autorisant que les protocoles sécurisés.
Stack technique
clojure
Domaine
security
Type d'issue
Bug
DifficultéDifficulté estimée pour un nouveau contributeur, de 1 pour un très petit changement à 5 pour un travail expert.
2
Temps estiméFourchette de temps approximative pour investiguer, implémenter, tester et préparer une pull request.
1-3 heures
Statut d'activitéDisponibilité apparente de l'issue : fraîche, active, ancienne, bloquée ou en attente d'un mainteneur.
Active
ClartéClarté avec laquelle l'issue explique le changement attendu, les critères d'acceptation et la prochaine étape.
Plutôt claire
Prérequis
ClojureHTML
Accessibilité débutantScore de 1 à 100 estimant l'accessibilité de cette issue pour un premier contributeur.
75