Vulnerabilidad en Javascript (CVE-2022-36010)

Esta biblioteca permite que las cadenas sean analizadas como funciones y almacenadas como un componente especializado, ["JsonFunctionValue"](https://github.com/oxyno-zeta/react-editable-json-tree/blob/09a0ca97835b0834ad054563e2fddc6f22bc5d8c/src/components/JsonFunctionValue.js). Para ello, es usada la función ["eval"](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/eval) de Javascript para ejecutar las cadenas que empiezan por "function" como Javascript. Lamentablemente, esto podría permitir una ejecución de código arbitrario si se presenta como valor dentro de la estructura JSON que está siendo mostrada. Dado que este componente puede ser usado a menudo para mostrar datos de fuentes arbitrarias y no confiables, esto es extremadamente peligroso. Una nota importante es que los usuarios que han definido una devolución de llamada personalizada ["onSubmitValueParser"](https://github.com/oxyno-zeta/react-editable-json-tree/tree/09a0ca97835b0834ad054563e2fddc6f22bc5d8c#onsubmitvalueparser) en el componente ["JsonTree"](https://github.com/oxyno-zeta/react-editable-json-tree/blob/09a0ca97835b0834ad054563e2fddc6f22bc5d8c/src/JsonTree.js) deberían estar ***no afectados***. Esta vulnerabilidad se presenta en la proposición por defecto "onSubmitValueParser" que llama a ["parse"](https://github.com/oxyno-zeta/react-editable-json-tree/blob/master/src/utils/parse.js#L30). Es añadida una propiedad a "JsonTree" llamada "allowFunctionEvaluation". Esta proposición será establecida como "true" en versión v2.2.2, lo que permite la actualización sin perder la retrocompatibilidad. En versión v2.2.2, pasamos de usar "eval" a usar ["Function"](https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/Function) para construir funciones anónimas. Esto es mejor que "eval" por las siguientes razones: - El código arbitrario no debería poder ejecutarse inmediatamente, ya que el constructor "Function" explícitamente *sólo crea* funciones anónimas - Las funciones son creadas sin cierres locales, por lo que sólo presentan acceso al ámbito global Si usa: - **Versión "<2.2.2"**, debe actualizar cuanto antes. - Si usa: **Versión "^2.2.2"**, debe establecer explícitamente la propiedad "allowFunctionEvaluation" de "JsonTree" a "false" para mitigar completamente esta vulnerabilidad. - En las versiones anteriores a "3.0.0 incluyéndola"**, "allowFunctionEvaluation" ya está configurado por defecto a "false", por lo que no es necesario realizar ningún otro paso.