[ CTA ] Cope with XSS / ブロックの脆弱性対応

kurudrive commented 1 year ago

チケットへのリンク / 変更の理由

CTA ブロックで高度な設定パネルのCSSクラス名を入力する箇所で脆弱性が確認されたため

適当にCTAを登録
CTA ブロックを配置して作成済みのCTAを選択
ブロックのCSSクラス名入力欄に " onmouseover="alert(/XSS/)" style="background:red;" を入力して保存
編集画面・公開画面ともにアラートがでて、背景が赤になる

どういう変更をしたか？

エスケープ処理追加

レビューに回す前に確認する事

[x] 複数の意図の変更（機能の不具合修正 + 別の機能追加など）を含んでいないか？
[x] Files changed (変更ファイル)の内容は目視で確認したか？
[x] readme.txt に変更内容は書いたか？
[x] 本当にちゃんと確認をしたか？

プログラムの変更の場合

[x] 書けそうなテストは書いたか？

変更内容について何を確認したか、どういう方法で確認をしたかなど

PHPUnitの追加 / npm run phpunit
このブランチでアラートがでなくなる、CSSが効かない事を目視で確認

確認URL

develop と挙動を比べて欲しいのでローカルでよろしくお願いいたします。

レビュワーの確認方法・確認する内容など

レビュワーに回す前の確認事項

[x] このテンプレートのチェック項目をちゃんと確認してチェックしたか？

レビュワー向け

確認して変更が反映されていない場合の確認事項

プルしたか？
ビルドしたか？
ビルドしたディレクトリは正しいか（別の開発環境のディレクトリを見ていないか）？
npm install したか？
composer install したか？

kurudrive commented 1 year ago

※脆弱性につき優先度は超高にしてあります。

drill-lancer commented 1 year ago

@kurudrive 多分そのページの先祖階層を表示するブロックでも同様の事象が起こると思われます。他のブランチで作業しますか？それもこのブランチにコミットしますか？ ⇒https://github.com/vektor-inc/vk-all-in-one-expansion-unit/pull/904

kurudrive commented 1 year ago

@doshimaf @drill-lancer レビューありがとうございました。

RICKさんは既に見ていただいたみたいですが、エスケープ処理を一番最後だけに変更しましたので念の為下記にリンクをおいておきます。

https://github.com/vektor-inc/vk-all-in-one-expansion-unit/pull/906

kurudrive commented 1 year ago

@doshimaf @drill-lancer 結局 esc_attr はありに戻し https://github.com/vektor-inc/vk-all-in-one-expansion-unit/pull/907

vektor-inc / vk-all-in-one-expansion-unit