Update Contao 4.12.1 kein Script mehr im HTML

[Schnippel]

Hi,

habe auf Contao 4.12.1 aufgerüstet und stelle fest, daß im Artikel > Elementtyp HTML kein <script> mehr möglich ist, obwohl in den Einstellungen bei Erlaubten HTML-Tags Script mit drin steht.

Woran liegt das?

Dieses soll in den Elementtyp HTML eingebunden werden

<script type="text/javascript" src="//mautic.domain.de/form/generate.js?id=1"></script>

[ausi]

Wenn du den script tag erlauben willst solltest du zusätzlich bei den erlaubten HTML-Attributen (diese Einstellung ist neu und gibt es erst seit kurzem) für das Element * das Attribut * erlauben. Damit sind alle Attribute erlaubt und der HTML-Filter filtert nichts davon weg.

[Schnippel]

Also so hier?

Unbenannt-2.jpg

Oder ganz oben in der zweiten Spalte noch script hinzufügen?

Unbenannt-3.jpg

[ausi]

Ganz unten hinzufügen so wie in Unbenannt-2.jpg passt es.
Damit sind alle Attribute für alle Elemente erlaubt.

Das solltest du natürlich nur so einstellen wenn du allen Backend-Usern vertraust.
Da dadurch belibiges JavaScript ausgeführt werden kann.

[Schnippel]

Also so hier:

Unbenannt-4.jpg

Das solltest du natürlich nur so einstellen wenn du allen Backend-Usern vertraust.
Da dadurch belibiges JavaScript ausgeführt werden kann.

Was ist, wenn ich denen nicht vertraue? Was muß ich da wie und wo einstellen?

[mlweb]

Unter Schlüssel (unten links) nur script und dann unter Werte nur die Attribute die tatsächlich notwendig sind.
Aber auch dadurch kann prinzipiell Schadcode eingeschleust werden.

[ausi]

Also so hier:

Unbenannt-4.jpg

Korrekt.

Was ist, wenn ich denen nicht vertraue? Was muß ich da wie und wo einstellen?

Dann solltest du die Standardeinstellung beibehalten und darfst keinesfalls den script tag oder das *-Attribut erlauben.