yogthos/markdown-clj

Prevent potential XSS by default

Aberta

#188 aberto em 12 de out. de 2022

Ver no GitHub
 (1 comentário) (0 reação) (0 responsável)Clojure (120 forks)github user discovery
bughelp wanted

Métricas do repositório

Stars
 (570 estrelas)
Métricas de merge de PR
 (Métricas PR pendentes)

Description

Example markdown:

[click me](javascript:window.onerror=alert;throw%20document.URL)

Markdown clj will render:

Maybe we force folks to specify specific protocols they want to support and validate the urls? We just discovered this and haven't done much analysis at this point.

This is what other popular Java markdown tools do:

https://github.com/commonmark/commonmark-java/blob/main/commonmark/src/main/java/org/commonmark/renderer/html/DefaultUrlSanitizer.java

Note, this doesn't affect other online editors either:

https://dillinger.io/ https://stackedit.io/app# https://jbt.github.io/markdown-editor/

Guia do colaborador

Direção de pesquisa
Inspecione o código fonte do markdown clj para entender como os URLs são renderizados e implemente um sanitizador de URL semelhante ao commonmark java, permitindo apenas protocolos seguros.
Pilha de tecnologia
clojure
Domain
security
Tipo Issue
Bug
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Principalmente claro
Prerequisites
ClojureHTML
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75