Herstel van een document slaat de Markdown-veiligheidsscan over #1643

New issue

Closed

opened 2026-08-21 11:59:01 +00:00 by brenno · 0 comments

brenno commented

2026-08-21 11:59:01 +00:00

Owner

Wat er misgaat

Elke .md die via Openen, slepen of recent binnenkomt, gaat door MarkdownSafetyScanner (<script>, javascript:, iframe, …). Een autosave-herstel van een documenttabblad parseert de snapshot direct:

restoreRecovered → MarkdownDocument.parse(snap.markdown) in lib/state/tabs_provider.dart.

Geen scan. De herstelmap is lokaal, maar het is dezelfde klasse invoer als een bestand: bytes die later HTML/PDF/LaTeX worden. Een gewijzigd of vervangen herstelbestand (crash, gedeelde machine, malware in de gebruikersmap) omzeilt de poort die overal anders fail-closed is.

Presentatie-herstel gaat via parseDeck en heeft hetzelfde soort gat; dit issue betreft de documentkant omdat daar de bron verbatim de editor in gaat.

Wat het met het formaat doet

Niets op het meesterbestand; wél uitvoerbare markup in de sessie.

Regressie

Snapshot met <script> of javascript:-link → herstel weigert of scant net als openDocumentDetailed.

## Wat er misgaat Elke `.md` die via Openen, slepen of recent binnenkomt, gaat door `MarkdownSafetyScanner` (`<script>`, `javascript:`, iframe, …). Een **autosave-herstel** van een documenttabblad parseert de snapshot direct: `restoreRecovered` → `MarkdownDocument.parse(snap.markdown)` in `lib/state/tabs_provider.dart`. Geen scan. De herstelmap is lokaal, maar het is dezelfde klasse invoer als een bestand: bytes die later HTML/PDF/LaTeX worden. Een gewijzigd of vervangen herstelbestand (crash, gedeelde machine, malware in de gebruikersmap) omzeilt de poort die overal anders fail-closed is. Presentatie-herstel gaat via `parseDeck` en heeft hetzelfde soort gat; dit issue betreft de documentkant omdat daar de bron verbatim de editor in gaat. ## Wat het met het formaat doet Niets op het meesterbestand; wél uitvoerbare markup in de sessie. ## Regressie Snapshot met `<script>` of `javascript:`-link → herstel weigert of scant net als `openDocumentDetailed`.

brenno added the

security

label

2026-08-21 11:59:01 +00:00

brenno added the

in-progress

label

2026-08-21 21:43:50 +00:00

brenno referenced this issue from a commit

2026-08-21 21:58:24 +00:00

fix(security): scan herstelde documentmomentopnames op uitvoerbare inhoud (#1643)

brenno referenced this issue