yogthos/markdown-clj

Prevent potential XSS by default

Aperta

#188 aperta il 12 ott 2022

Vedi su GitHub
 (1 commento) (0 reazioni) (0 assegnatari)Clojure (120 fork)github user discovery
bughelp wanted

Metriche repository

Star
 (570 stelle)
Metriche merge PR
 (Metriche PR in attesa)

Descrizione

Example markdown:

[click me](javascript:window.onerror=alert;throw%20document.URL)

Markdown clj will render:

Maybe we force folks to specify specific protocols they want to support and validate the urls? We just discovered this and haven't done much analysis at this point.

This is what other popular Java markdown tools do:

https://github.com/commonmark/commonmark-java/blob/main/commonmark/src/main/java/org/commonmark/renderer/html/DefaultUrlSanitizer.java

Note, this doesn't affect other online editors either:

https://dillinger.io/ https://stackedit.io/app# https://jbt.github.io/markdown-editor/

Guida contributor

Direzione di ricerca
Ispeziona il codice sorgente di markdown clj per capire come vengono renderizzati gli URL, quindi implementa un sanitizer URL simile a commonmark java, consentendo solo protocolli sicuri.
Tech stack
clojure
Dominio
security
Tipo issue
Bug
DifficoltàQuanto dovrebbe essere impegnativa per un nuovo contributor.
2
Tempo stimatoTempo stimato per completare e verificare uno scope piccolo.
1-3 ore
Stato attivitàQuanto è probabile che la issue sia ancora attiva e reviewable.
Attiva
ChiarezzaQuanto chiaramente la issue descrive problema, scope e risultato atteso.
Abbastanza chiara
Prerequisiti
ClojureHTML
Adatta ai principiantiQuanto la issue è adatta a contributor alla prima esperienza.
75