Closed
Description
Bug Type: Component
Environment
- Vue Version:
3.2.13 - Element Plus Version:
2.0.5 - Browser / OS:
UserAgent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.110 Safari/537.36 - Build Tool:
Vue CLI
Reproduction
Related Component
el-table-column
Reproduction Link
Steps to reproduce
按照 复现项目的 readme 进行构建
访问 serve
在 含有 payload 的 address 的列处中划过光标 就可以触发 js 运行导致 xss
What is Expected?
渲染img或者不渲染都可以 但不可以执行 JavaScript
What is actually happening?
渲染文本内容为 html 并且执行 JavaScript 脚本
Additional comments
elementui plus 是一个大仓库导致有许许多多的前端项目依赖其而构建
show-overflow-tooltip 已经可以通过 github 代码搜索 找到相关项目 并且其中包含一些部分后台管理项目
建议通知开发者 更新项目与修复该问题
此外文档中建议添加相关 安全警告
其他相关信息:
asjdf/element-table-xss-test#1