テキストエディタをまた〜り語ろう ver.37

いまどき、メンテできるから良いね。放棄された某エディタは次で毎月自動調査しアップデートしてる
---
あなたはフロントエンドのマイグレーションとセキュリティの専門家です。
添付アプリの依存関係にある次のライブラリのアップデートを中心に、セキュリティの課題をできる限り網羅的に調査してください。
対象ライブラリ: marked, dompurify、KaTeX等を含め全て
結果は次の通り示してください
1. ライブラリのメジャーバージョンアップの有無とBreaking Changesの要約、その他のセキュリティ課題
2. このアプリでの使い方に影響しそうなAPI変更(例: KaTeXを動的ロード、Mermaidをdiv描画)
3. それぞれのセキュリティアップデートに要する手間コストとアップデートによるで発生する可能性のある悪影響の度合を、低/中/高で理由をつけて説明
---

>>599
流石にgPadクローンは無理だった見たいね

窓の杜もさ、大賞とってもソース非公開でセキュリティアップデート放棄したらライブラリ落ちにしないと
自動アップデート機能は逆に大穴になってる〜

>>601
Appleストアはどこまでやってる?

>> メンテされてない某エディタ
> これgPadの事か
gPadのことと危惧するのは正しいと思う
でも「セキュリティの脆弱性」と「メンテされてない」の根拠はないみたい
単に修正することがないから更新されてないのかそうでないかは作者にしか分からん

gPadで自分のメモを読み書きする限りはセキュリティ的なリスクがほぼ発生しない
まあこのリスク対処は類似したテキストエディタいずれにも言えるけど

>>603
でもさ、フォーラムで音信不通なのにサイトだけ生きてるのは不思議だぞ
すでに乗っ取られていてbeta版と称する偽バイナリばら撒き用になってる可能性すらある

virustotalは赤だね

>>604
「危惧するのは正しい」って書いたのは、まさしく「不思議」だという指摘と同じ理由
そして「不思議」止まりだという話
否定しているわけではない

TZEditorも同梱のdelphi製dllがVirusTotalに引っかかるんだけど、
そのdllは機能してない
機能する条件があるのなら明示して、出来ないなら配布から外してくれないかな

テキストエディタにセキュリティホール無いとか大甘やな
gPadに限らないが、自動アップデート機能入れたら公式版以外は自己起動せぬよう細工しないと、すでに配布時点で失格
自動アップデートないならないで、せめてハッシュ値ぐらいは公式Webに記載しろと。それ既に書き換えられてない？
それもできないなら、最低限Windows Storeのザル審査ぐらい通して公開しろ

ソースコード公開してない以上、安全かどうか第三者には検証しようがなく、年単位で更新止まればオワり

クローズドでも使用ライブラリが列挙されていれば
脆弱性が見つかったライブラリの影響調査は出来るのでは

何も指示しなくてもAIが気を利かせてライブラリ列挙してくれるから明記してるアプリが増えてる
新しい目で直ぐに消えそうなアプリでも手を出しやすくなった

>>610
ライブラリの依存さえ明記してなくて、ソースコード提供してないのは今の時代は失格アプリ

某エディタに限らんが最近はマクロにJSをつこーてるからな

おまいらのエディタは、全くのノーチェックでマクロ実行できるのか？
初回起動時の警告表示は最低限として、JSなら一般チェックを通過しないと、登録さえ拒否できるような設計がいまのマナー
デフフォルトはマクロがそもそも実行されない安全オプションで