search

view-design / ViewUI

A high quality UI Toolkit built on Vue.js 2.0
https://www.iviewui.com/
Other
2.65k stars 797 forks source link

Message组件存在XSS安全风险 #1002

Open xusidu opened 2 years ago

xusidu commented 2 years ago

Environment Windows10 / Chrome 90 / Vue 2.6

Reproduction link https://run.iviewui.com/KYkZiKIV

What is actually happening? 根据官方文档描述 $Message.success(config) （其他同类API也存在相同情况） 其中config.content 的类型仅为string，然而实测可以接收Element string 有被XSS攻击风险 此情况由第三方安全检测机构实测，且项目中已证实