Как избежать символов в inbiz display-entity | XSS в OFBiz

Question

OFBiz форма: Необходимо, чтобы избежать символов из описания столбца в дисплее Образования тега, чтобы избежать XSS атак:

<display-entity entity-name="Table" description="${description}" > 

Я пытался использовать BSH, следующим образом:

<display-entity entity-name="Table" description="${bsh: org.apache.commons.lang.StringEscapeUtils.escapeHtml(&quot;${description}&quot;)}"> 

Но Я получаю эту ошибку:

Error rendering screen [component://my/widget/CommonScreens.xml#GlobalDecorator]: java.lang.IllegalStateException: This object has been flagged as immutable (unchangeable), probably because it came from an Entity Engine cache. Cannot set a value in an immutable entity object. 
(This object has been flagged as immutable (unchangeable), probably because it came from an Entity Engine cache. Cannot set a value in an immutable entity object.) 

Существует решение здесь, чтобы избежать символов в описании?

Answer 1

Там нет вопроса XSS там, как объяснено в https://issues.apache.org/jira/browse/OFBIZ-6506 Так что нет нужды бежать, это делается автоматически OFBiz

Answer 2

Мы недавно совершили патч для этой XSS уязвимости к Сципиона ERP (OFBiz вилка):

https://github.com/ilscipio/scipio-erp/commit/cf7e8ef40af06e2903fb50a3f708a455ffd88c2a

Возможно, стоит проверить его (www.scipioerp.com).