Уязвимость кросс-сайтов (XSS) существует в логике рендеринга инструментов серии Lines. Эта проблема затрагивает Apache ECharts: до 6.1.0. В…

Уязвимость кросс-сайтов (XSS) существует в логике рендеринга инструментов серии Lines. Эта проблема затрагивает Apache ECharts: до 6.1.0. В версиях до 6.1,0, если используются как серии Lines, так и toolp, и не предоставляется указанный пользователем tooltip.formatter, и указана series.data[i].name, необработанная HTML-строка string.data[i].name может быть отображена через погружение innerHTML в содержимое инструментария. Хотя toolp может принимать пользовательский сырой HTML через пользовательский tooltip.formatter, встроенные формататоры инструментов обычно выполняют HTML, вырываясь из строя. Этот случай нарушает эту конвенцию и может неожиданно привести к исполнению скрипта при отображении подсказок. Пользователям рекомендуется обновиться до версии 6.1.0, если вы используете серию Lines таким образом, что устраняет проблему.