CVE-2025-53354
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
NiceGUI, framework UI oparty na Pythonie, w wersjach 2.24.2 i niższych jest narażony na Cross-Site Scripting (XSS), gdy programiści renderują nieucieczone dane wejściowe użytkownika do DOM za pomocą ui.html(). Brak sanityzacji HTML lub JavaScript pozwala atakującym na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika. Aplikacje, które nie przekazują niezaufanych danych do ui.html(), nie są dotknięte. Problem naprawiono w wersji 3.0.0.
Ocena ryzyka
Ryzyko dotyczy aplikacji, które używają ui.html() z niezaufanymi danymi, co może prowadzić do przejęcia sesji, kradzieży danych lub innych ataków XSS.
Rekomendacja
Zaktualizuj NiceGUI do wersji 3.0.0 lub nowszej, a także unikaj przekazywania niezaufanych danych do ui.html() bez odpowiedniego escapowania.
Inne podatności w NiceGUI
Zobacz wszystkie- CVE-2026-21873Wysokie
NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.
- CVE-2026-45554Średnie
NiceGUI to framework UI oparty na Pythonie. Przed wersją 3.12.0 dwie trasy FastAPI obsługujące statyczne zasoby na komponent akceptują parametr sub-ścieżki, który może rozwiązać się do katalogu zamiast pliku. Żądania rozwiązujące się do katalogu powodują nieobsłużony RuntimeError wewnątrz FileResponse Starlette, który Uvicorn zapisuje do dziennika serwera jako pełny ślad stosu. Ponieważ trasy są osiągalne bez uwierzytelnienia, zdalny atakujący może zwiększyć objętość dziennika i zużyć pojemność dysku i potoku dziennika na każdym publicznie dostępnym serwerze NiceGUI. Problem został naprawiony w wersji 3.12.0.
- CVE-2026-45553Wysokie
NiceGUI w wersji przed 3.12.0 zawiera podatność w ui.restructured_text(), która renderuje reStructuredText po stronie serwera bez wyłączania dyrektyw wstawiania plików. Atakujący może odczytać lokalne pliki, do których ma dostęp proces serwera NiceGUI.
- CVE-2026-39844Średnie
NiceGUI, framework UI w Pythonie, przed wersją 3.10.0 jest podatny na zapis dowolnego pliku w systemie Windows. Ponieważ PurePosixPath rozpoznaje tylko ukośniki (/) jako separatory ścieżek, atakujący może użyć backslashy (\) w nazwie przesyłanego pliku, aby ominąć sanityzację.
- CVE-2025-66470Średnie
NiceGUI to framework UI w Pythonie. Wersje 3.3.1 i starsze są podatne na XSS poprzez komponent ui.interactive_image, który renderuje zawartość SVG za pomocą dyrektywy v-html Vue bez sanityzacji. Atakujący może wstrzyknąć złośliwy HTML lub JavaScript poprzez tag <foreignObject> SVG, gdy komponent obrazu jest renderowany lub aktualizowany.
Oryginalny opis (angielski, źródło NVD)
NiceGUI is a Python-based UI framework. Versions 2.24.2 and below are at risk for Cross-Site Scripting (XSS) when developers render unescaped user input into the DOM using ui.html(). NiceGUI did not enforce HTML or JavaScript sanitization, so applications that directly combine components like ui.input() with ui.html() or ui.chat_message with HTML content without escaping may allow attackers to execute arbitrary JavaScript in the user’s browser. Applications that do not pass untrusted input into ui.html() are not affected. This issue is fixed in version 3.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS