# Text Editor "bereinigt" Quellcode und entfernt Bilder (img-Element)

**URL:** <https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661>\
**Category:** Shopware 6 (German)\
**Tags:** general, administration\
**Created:** [11. Mai 2023 um 14:00 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661 "2023-05-11T14:00:54Z")\
**Posts on this page:** 20\
**Page:** 7

<div class="post-metadata">

**Author:** ![area-net-gmbh](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/area-net-gmbh/32/21995_2.png) [@area-net-gmbh](https://forum.shopware.com/u/area-net-gmbh)\
**Post date:** [5. Juli 2023 um 14:07 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/121 "2023-07-05T14:07:07Z")

</div>

Kann ich nicht bestätigen. Bei mir bleiben Tags und Bilder auch in den Textbausteinen bestehen.

---

<div class="post-metadata">

**Author:** ![nvdennis](https://avatars.discourse-cdn.com/v4/letter/n/439d5e/32.png) [@nvdennis](https://forum.shopware.com/u/nvdennis)\
**Post date:** [5. Juli 2023 um 14:10 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/122 "2023-07-05T14:10:17Z")

</div>

Probier mal bitte:  
`<span onclick="alert('Hello World')">Test</span>`

---

<div class="post-metadata">

**Author:** ![area-net-gmbh](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/area-net-gmbh/32/21995_2.png) [@area-net-gmbh](https://forum.shopware.com/u/area-net-gmbh)\
**Post date:** [5. Juli 2023 um 14:23 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/123 "2023-07-05T14:23:14Z")

</div>

Yep, das geht nicht. Liegt an einem Bug im Client-/Javascript-Code. Da wird die Einstellungen nicht übernommen, bzw. keine YAML-Config geladen.

Damit wird der Standard von der eingesetzten Bibliothek [DOMPurify](https://github.com/cure53/DOMPurify/) verwendet. Und in diesem Standard fliegen script-Tags raus.

Workaround (schnell und hässlich per Core-Anpassungen oder aufwendiger per Plugin) findest du hier: [Arbeit mit Textbausteinen in SW 6 mangelhaft - #12 von area-net-gmbh](https://forum.shopware.com/t/arbeit-mit-textbausteinen-in-sw-6-mangelhaft/100188/12)

---

<div class="post-metadata">

**Author:** ![Thorsten-A](https://avatars.discourse-cdn.com/v4/letter/t/e99b99/32.png) [@Thorsten-A](https://forum.shopware.com/u/Thorsten-A)\
**Post date:** [5. Juli 2023 um 14:40 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/124 "2023-07-05T14:40:30Z")

</div>

Soweit mir im Moment bekannt wurden auch schon unter sw6.4  
Textbausteine wenn dann maximal nur mit Minimum-HTML unterstützt  
ohne weitere Veränderungen durch Plugins oder sonstige Eingriffe.  
D.h.

- Keine `<style>`
- Keine `<script>`
- Keine attr onclick und auch keinerlei andere Events …onload, onchange, oninput…etc…

Das störte mich auch, weil es damit nicht möglich war direkt in Textbausteienen  
allgemeine Phrasen zu hinterlegen. Ich hatte das damals gelöst indem ich nur kennungen/klassen  
den Elementen mitgab und ein zentrales onLoadJsFrontendScript diesen Elementen dann  
ihre Standard-Funktionalität einhauchte mittels addEventListener und Funktionszuweisung.

---

<div class="post-metadata">

**Author:** ![Benjamin\_Hummel](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/benjamin_hummel/32/25953_2.png) [@Benjamin\_Hummel](https://forum.shopware.com/u/Benjamin_Hummel)\
**Post date:** [11. Juli 2023 um 12:49 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/125 "2023-07-11T12:49:51Z")

</div>

Nicht unerwähnt bleiben sollte allerdings:

_Bei Bedarf ist es auch möglich den HTML Sanitizer komplett zu deaktivieren. Hiervon wird stark abgeraten, da sonst folgende Sicherheitsrisiken bestehen._

- **Cross-Site Scripting (XSS)-Angriffe:** HTML-Sanitizer helfen dabei, XSS-Angriffe zu verhindern, bei denen schädliche Skripte in den Code einer Website eingeschleust werden. Ohne ordnungsgemäßes sanitizing könnte ein Angreifer schädliche Skripte in den Shop einschleusen, was potenziell die Sicherheit von Benutzerdaten gefährdet, sensible Informationen stiehlt oder Malware verbreitet.

- **Datenintegrität und Vertraulichkeit:** HTML-Sanitizer helfen dabei, die Integrität und Vertraulichkeit der von Benutzern eingegebenen Daten zu gewährleisten. Ohne sanitizing können Angreifer Schwachstellen ausnutzen, um Benutzerdaten zu modifizieren oder zu manipulieren, was zu potenziellen Datenschutzverletzungen, unbefugtem Zugriff oder Manipulation sensibler Informationen führen kann.

- **Reputation und Kundentrust:** Wenn ein Shop aufgrund fehlendes sanitizing anfällig für Sicherheitsrisiken wird, kann dies den Ruf des Shops schädigen und das Vertrauen der Kunden untergraben. Nachrichten über Sicherheitsverletzungen, kompromittierte Benutzerdaten oder häufige Angriffe können Kunden davon abhalten, Einkäufe zu tätigen oder ihre persönlichen Informationen zu teilen, was sich negativ auf den Erfolg des Shops auswirkt.

- **Rechtliche und Compliance-Probleme:** Unternehmen sind rechtlich verpflichtet, Kundendaten zu schützen und angemessene Sicherheitsmaßnahmen zu treffen. Das Fehlen eines ordnungsgemäßen HTML Sanitizer kann zu rechtlichen und Compliance-Problemen führen, einschließlich Geldstrafen, Klagen oder anderen rechtlichen Konsequenzen, wenn es zu einem Datenverstoß oder einer Verletzung des Datenschutzes kommt.

- **Betriebsstörungen und finanzielle Verluste:** Erfolgreiche Angriffe auf einen Shop können zu Betriebsstörungen, Ausfallzeiten und finanziellen Verlusten führen. Die Behebung der Folgen eines Sicherheitsverstoßes, wie die Untersuchung des Vorfalls, die Implementierung von Korrekturen, die Benachrichtigung betroffener Kunden und die Wiederherstellung der Systeme, kann kostspielig und zeitaufwändig sein.

---

<div class="post-metadata">

**Author:** ![area-net-gmbh](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/area-net-gmbh/32/21995_2.png) [@area-net-gmbh](https://forum.shopware.com/u/area-net-gmbh)\
**Post date:** [11. Juli 2023 um 12:56 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/126 "2023-07-11T12:56:27Z")

</div>

> [@Benjamin\_Hummel](#):
>
> Bei Bedarf ist es auch möglich den HTML Sanitizer komplett zu deaktivieren

Eben nicht komplett. Bei den Textbausteinen greift clientseitig noch DOMPurify, der nicht konfiguriert werden kann . siehe oben.

---

<div class="post-metadata">

**Author:** ![littleAmused](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/littleamused/32/13261_2.png) [@littleAmused](https://forum.shopware.com/u/littleAmused)\
**Post date:** [13. Juli 2023 um 14:39 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/127 "2023-07-13T14:39:13Z")

</div>

Moin zusammen!

Wie sieht denn das bei den Mail-Templates aus, läuft da zufällig auch der Sanitizer drüber?

Ich wollte für einen Kunden gerade die Mails schicker machen, da hab ich festgestellt, dass das CSS, welches ich in den Standard-Head und -Footer der Mails einbinden möchte, nach dem Speichern entfernt wird.

Mein Beispiel:

```auto
{% verbatim %}
  <style type="text/css">
    /** Globals */
    *{font-family:Helvetica,Verdana,Arial,sans-serif}
    ...
  </style>
{% endverbatim %}

```

Alles zwischen den `verbatim` Tags wird jedoch entfernt. In 6.4. ist dies noch nicht so gewesen, dort setzen wir auf diese Weise erfolgreich CSS in die Shop-Mails ein.

Wir haben nun noch keinen bestehenden Shops mit angepassten Mail-Templates auf v6.5 hochgezogen, aber wäre schon blöd, wenn diese durch ein Shop-Update Ihre individuellen Mail-Layouts verlieren würden und wir die mühselig wieder neu erstellen müssten 🙂

Kann man denn für Mail-Templates auch eine Ausnahme in die .yaml Datei eintragen? Oder sind diese so gar nicht vom Sanitizer betroffen?

LG;LA

---

<div class="post-metadata">

**Author:** ![area-net-gmbh](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/area-net-gmbh/32/21995_2.png) [@area-net-gmbh](https://forum.shopware.com/u/area-net-gmbh)\
**Post date:** [14. Juli 2023 um 06:52 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/128 "2023-07-14T06:52:49Z")

</div>

Bei Mailtemplates scheint es auch Probleme zu geben. Beispielsweise wird

```auto
{{foo.bar | replace({'<br>': 'xyz'})}}

```

zum fehlerhaften

```auto
{{foo.bar | replace()}}

```

„umgeschrieben“.

---

<div class="post-metadata">

**Author:** ![markus.klees](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/markus.klees/32/7714_2.png) [@markus.klees](https://forum.shopware.com/u/markus.klees)\
**Post date:** [14. Juli 2023 um 10:29 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/129 "2023-07-14T10:29:28Z")

</div>

Hier das Issue dazu.

> **[Shopware Issuetracker](https://issues.shopware.com/issues/NEXT-28693)**
>
> Shopware Issuetracker

---

<div class="post-metadata">

**Author:** ![R4M](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/r4m/32/9983_2.png) [@R4M](https://forum.shopware.com/u/R4M)\
**Post date:** [14. Juli 2023 um 10:42 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/130 "2023-07-14T10:42:37Z")

</div>

Zitate Shopware:

```auto
Erschaffe das Herausragende

```

```auto
Bring dein Business auf ein neues Level mit maximaler Flexibilität

```

Je mehr ich damit arbeite, je mehr spüre ich das. Vor allem „maximaler Flexibilität” … genau mein Humor.

---

<div class="post-metadata">

**Author:** ![littleAmused](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/littleamused/32/13261_2.png) [@littleAmused](https://forum.shopware.com/u/littleAmused)\
**Post date:** [17. Juli 2023 um 08:35 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/131 "2023-07-17T08:35:26Z")

</div>

Danke für den Link! Das Ticket beschreibt allerdings ein spezielleres Problem, welches jetzt erstmal nichts mit der Anpassung der Mail-Templates zu tun hat.

@dneustadt Ich markiere Dich einfach mal in der Hoffnung, dass Du vielleicht einen Tipp hast? Werden Mail-Templates vom HTML-Sanitizer bereinigt?

> [@littleAmused](#):
>
> Ich wollte für einen Kunden gerade die Mails schicker machen, da hab ich festgestellt, dass das CSS, welches ich in den Standard-Head und -Footer der Mails einbinden möchte, nach dem Speichern entfernt wird.
> 
> Mein Beispiel:
> 
> ```auto
> {% verbatim %}
> <style type="text/css">
> /** Globals */
> *{font-family:Helvetica,Verdana,Arial,sans-serif}
> ...
> </style>
> {% endverbatim %}
> 
> ```
> 
> Alles zwischen den `verbatim` Tags wird jedoch entfernt. In 6.4. ist dies noch nicht so gewesen, dort setzen wir auf diese Weise erfolgreich CSS in die Shop-Mails ein.
> 
> Wir haben nun noch keinen bestehenden Shops mit angepassten Mail-Templates auf v6.5 hochgezogen, aber wäre schon blöd, wenn diese durch ein Shop-Update Ihre individuellen Mail-Layouts verlieren würden und wir die mühselig wieder neu erstellen müssten 🙂
> 
> Kann man denn für Mail-Templates auch eine Ausnahme in die .yaml Datei eintragen? Oder sind diese so gar nicht vom Sanitizer betroffen?

> [@area-net-gmbh](#):
>
> Bei Mailtemplates scheint es auch Probleme zu geben. Beispielsweise wird
> 
> ```auto
> {{foo.bar | replace({'<br>': 'xyz'})}}
> 
> ```
> 
> zum fehlerhaften
> 
> ```auto
> {{foo.bar | replace()}}
> 
> ```
> 
> „umgeschrieben“.

Jede Info dazu wäre hilfreich - wir wollen die Mail-Templates auf keinen Fall im Standard belassen.

Kleine Side-Quest: Kann man eigentlich Mail-Templates in seinen Themes mitliefern? Wäre vom Aufwand her ganz geil, weil die Arbeit über das Backend auch ein wenig „frickelig“ ist.

LG;LA

---

<div class="post-metadata">

**Author:** ![area-net-gmbh](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/area-net-gmbh/32/21995_2.png) [@area-net-gmbh](https://forum.shopware.com/u/area-net-gmbh)\
**Post date:** [17. Juli 2023 um 09:24 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/132 "2023-07-17T09:24:26Z")

</div>

> Kann man eigentlich Mail-Templates in seinen Themes mitliefern?

Glaube nicht. Bei unserer Theme-Erstprüfung war ausversehen noch ein Dokumenten-Template drin. Das wurde angemahnt, dass das nichts in einem Theme zu suchen hätte.

---

<div class="post-metadata">

**Author:** ![dneustadt](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/dneustadt/32/15603_2.png) [@dneustadt](https://forum.shopware.com/u/dneustadt)\
**Post date:** [17. Juli 2023 um 11:36 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/133 "2023-07-17T11:36:51Z")

</div>

Die spezifischen Mail-Templates, also quasi der Body der Mail, wenn man so will, werden explizit nicht sanitized, da man dort nicht die gleichen Maßstäbe anlegen kann, wie an HTML in den Storefront Templates. HTML in Emails ist einfach nochmal was anderes. Bei Header und Footer der Mails wird allerdings noch der Sanitizer verwendet, was einfach ein Oversight ist. Dort wird das `basic` Rule-Set verwendet und das kann, wie hier schon beschrieben, entsprechend erweitert werden, sodass alles was im Header/Footer gebraucht wird erlaubt ist. Alternativ kann jetzt in der neuesten Version der Sanitizer ganz abgeschaltet werden.

---

<div class="post-metadata">

**Author:** ![tom\_prok](https://avatars.discourse-cdn.com/v4/letter/t/e99b99/32.png) [@tom\_prok](https://forum.shopware.com/u/tom_prok)\
**Post date:** [19. Juli 2023 um 12:33 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/135 "2023-07-19T12:33:06Z")

</div>

Infos hierzu bei 1:15 min.

> **[Release News: Das sind die neuen Features im Juli 2023](https://www.youtube.com/watch?v=4uATvhwg3dQ&feature=youtu.be)**
>
> In diesem Video zeigt Dir Patrick die neuen Funktionen der Shopware 6.5.3.0, 6.5.3.1 und 6.5.3.2. Darüber hinaus bekommst Du wertvolle Tipps uns Tricks. Den ...

---

<div class="post-metadata">

**Author:** ![littleAmused](https://dub1.discourse-cdn.com/flex013/user_avatar/forum.shopware.com/littleamused/32/13261_2.png) [@littleAmused](https://forum.shopware.com/u/littleAmused)\
**Post date:** [20. Juli 2023 um 09:25 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/136 "2023-07-20T09:25:12Z")

</div>

Vielen Dank! Das hat mir sehr geholfen 😁  
Ich konnte mein Problem damit lösen.

Für alle Suchenden:  
Inline `style` Attribute: Dieses wird im Standard bereits vom `basic` Set zugelassen, man muss also keine z-shopware.yaml Datei erstellen.  
`<table class="mail" style="width:100%;max-width:100%;">`

LG;LA

---

<div class="post-metadata">

**Author:** ![dweseom](https://avatars.discourse-cdn.com/v4/letter/d/e56c9b/32.png) [@dweseom](https://forum.shopware.com/u/dweseom)\
**Post date:** [15. August 2023 um 12:21 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/137 "2023-08-15T12:21:39Z")

</div>

Hi,

wenn der Sanitizer deaktiviert wird, wird dieser nur für den Backend-Text-Editor deaktiviert, oder auch für das Frontend?

z-shopware.yaml

```auto
shopware:
    html_sanitizer:
        enabled: false

```

Wäre natürlich absolut bedenklich, wenn bei Shop-Bewertungen Tags eingefügt werden könnten.

---

<div class="post-metadata">

**Author:** ![A.K](https://avatars.discourse-cdn.com/v4/letter/a/e8c25b/32.png) [@A.K](https://forum.shopware.com/u/A.K)\
**Post date:** [23. August 2023 um 09:58 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/138 "2023-08-23T09:58:57Z")

</div>

Weiß zufällig jemand wie man dem HTML Sanitizer eigene Tags hinzufügen kann?  
Wir nutzen ein Plugin was eine XML bei Bestellungseingang exportiert. Leider verwirft der HTML Sanitizer unsere XML Knoten. Es würde zwar funktionieren, wenn wir den HTML Sanitizer kommplett deaktivieren, dies wollen wir aber aus Sicherheitsgründen nicht.

Habe versucht die Knotenbezeichner den Tags hinzuzufügen aber das scheint so nicht zu funktionieren.  
Für Hilfe und Ideen wäre ich dankbar.

---

<div class="post-metadata">

**Author:** ![dweseom](https://avatars.discourse-cdn.com/v4/letter/d/e56c9b/32.png) [@dweseom](https://forum.shopware.com/u/dweseom)\
**Post date:** [26. August 2023 um 18:18 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/139 "2023-08-26T18:18:37Z")

</div>

@Benjamin_Hummel

1. Kannst du bitte kurz aufklären und auch in der Doku aufnehmen, ob der HTML-Sanitizer nur das Backend betrifft oder auch das Frontend?

2. Plant ihr auch SVG-Elemente zuzulassen? Momentan können in der Einkaufswelt keine Elemente mit SVGs mehr eingebaut werden, auf welche ein Hover-Effekt gelegt werden kann. Die SVG-Grafiken müssen in einem img Tag eingebunden werden und sind somit nicht mehr manipulierbar mit CSS.  
Ist wohl etwas schwieriger und ähnelt dem Punkt von dem Kommentar über diesem, da es auch um XML-Strukturen geht.

---

<div class="post-metadata">

**Author:** ![AdrianH](https://avatars.discourse-cdn.com/v4/letter/a/b77776/32.png) [@AdrianH](https://forum.shopware.com/u/AdrianH)\
**Post date:** [11. September 2023 um 09:15 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/140 "2023-09-11T09:15:24Z")

</div>

Für jeden der nach einer Möglichkeit sucht den HTML-Sanitizer über das Backend zu deaktivieren, haben wir ein Plugin entwickelt:

> **[HTML-Sanitizer deaktivieren](https://store.shopware.com/detail/index/sArticle/8713507)**
>
> Mit diesem Plugin lässt sich der HTML-Sanitizer, welcher in den Erlebniswelten aktiv ist über das Backend deaktivieren. Dadurch ist es wieder…

Grüße  
Adrian

---

<div class="post-metadata">

**Author:** ![grelf111](https://avatars.discourse-cdn.com/v4/letter/g/91b2a8/32.png) [@grelf111](https://forum.shopware.com/u/grelf111)\
**Post date:** [25. September 2023 um 13:43 UTC](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661/141 "2023-09-25T13:43:06Z")

</div>

Hallo Marco,  
nein, es ist nicht plausibel, weil falsche Stelle und inkonsequent:

Im Frontend kann ein User eine Bewertung mit beliebigen HTML-Code eintragen.  
Getestet habe ich mit Vers. 6.5.5.2:

- h1, a und button mit verschiedenen class und style-Attributen; alle lassen sich im Frontend eintragen und speichern.
- Diese Bewertung kann ich dann auch freischalten mit allem Code drin
- Editieren kann ich als Admin das Feld nicht.
- Aber wenn ich selber im Backend einen Kommentar zur Bewertung mit HTML-Code eintrage (z.B. einen Link auf eine interne Seite), dann greift der Sanitizer ein und löscht das.

Diese Logik erschliesst sich mir nicht!

Aber wir sind ja schon froh, dass Symfony wenigstens Javascript aus einer Bewertung entfernt.

[Vorherige Seite](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661.md?page=6)

[Nächste Seite](https://forum.shopware.com/t/text-editor-bereinigt-quellcode-und-entfernt-bilder-img-element/99661.md?page=8)