fix(security): escape preview and preset labels (#64) #74

Merged

Reliodas merged 1 commit from fix/64-escape-preview-fields into develop

2026-07-03 18:21:19 +00:00

Reliodas commented

2026-07-03 17:46:39 +00:00

Owner

Contexte

Corrige le ticket #64.
Les champs CA/PV/Vitesse/Init de l'aperçu créature étaient injectés sans échappement.
Les labels du dropdown de préréglages étaient affichés sans échappement.

Modifications

Echappe les quatre champs de stats dans l'aperçu de creatures.html.
Echappe les labels dans renderPresetDropdown de card-editor.js.
Revue des autres injections innerHTML visibles autour des éditeurs : les champs modifiables proches utilisent déjà esc() ou textContent.

Validation

node scripts/smoke-test.js
git diff --check\n- node --check card-editor.js\n- node tests/visual-validation.js\n- Contrôle Playwright ciblé avec test dans les stats créature et dans un label de dropdown.

Contexte - Corrige le ticket #64. - Les champs CA/PV/Vitesse/Init de l'aperçu créature étaient injectés sans échappement. - Les labels du dropdown de préréglages étaient affichés sans échappement. Modifications - Echappe les quatre champs de stats dans l'aperçu de creatures.html. - Echappe les labels dans renderPresetDropdown de card-editor.js. - Revue des autres injections innerHTML visibles autour des éditeurs : les champs modifiables proches utilisent déjà esc() ou textContent. Validation - node scripts/smoke-test.js - git diff --check\n- node --check card-editor.js\n- node tests/visual-validation.js\n- Contrôle Playwright ciblé avec <b>test</b> dans les stats créature et dans un label de dropdown.

Reliodas added 1 commit

2026-07-03 17:46:40 +00:00