CVE-2026-45553
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
NiceGUI w wersji przed 3.12.0 zawiera podatność w ui.restructured_text(), która renderuje reStructuredText po stronie serwera bez wyłączania dyrektyw wstawiania plików. Atakujący może odczytać lokalne pliki, do których ma dostęp proces serwera NiceGUI.
Ocena ryzyka
Atakujący może odczytać poufne pliki na serwerze, takie jak konfiguracja, klucze lub dane użytkowników, co prowadzi do wycieku informacji.
Rekomendacja
Należy zaktualizować NiceGUI do wersji 3.12.0 lub nowszej, która zawiera poprawkę wyłączającą niebezpieczne dyrektywy Docutils.
Inne podatności w NiceGUI
Zobacz wszystkie- CVE-2026-21873Wysokie
NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.
- CVE-2026-45554Średnie
NiceGUI to framework UI oparty na Pythonie. Przed wersją 3.12.0 dwie trasy FastAPI obsługujące statyczne zasoby na komponent akceptują parametr sub-ścieżki, który może rozwiązać się do katalogu zamiast pliku. Żądania rozwiązujące się do katalogu powodują nieobsłużony RuntimeError wewnątrz FileResponse Starlette, który Uvicorn zapisuje do dziennika serwera jako pełny ślad stosu. Ponieważ trasy są osiągalne bez uwierzytelnienia, zdalny atakujący może zwiększyć objętość dziennika i zużyć pojemność dysku i potoku dziennika na każdym publicznie dostępnym serwerze NiceGUI. Problem został naprawiony w wersji 3.12.0.
- CVE-2026-39844Średnie
NiceGUI, framework UI w Pythonie, przed wersją 3.10.0 jest podatny na zapis dowolnego pliku w systemie Windows. Ponieważ PurePosixPath rozpoznaje tylko ukośniki (/) jako separatory ścieżek, atakujący może użyć backslashy (\) w nazwie przesyłanego pliku, aby ominąć sanityzację.
Oryginalny opis (angielski, źródło NVD)
NiceGUI is a Python-based UI framework. Prior to version 3.12.0, ui.restructured_text() renders reStructuredText server-side with Docutils without disabling file insertion directives. When a NiceGUI application passes attacker-controlled content to ui.restructured_text(), an attacker can use standard Docutils directives (include, csv-table with :file:, raw with :file:) to read local files readable by the NiceGUI server process. Applications that only pass trusted static strings to ui.restructured_text() are not affected. This issue has been patched in version 3.12.0.