CVE-2026-45553
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
NiceGUI w wersji przed 3.12.0 zawiera podatność w ui.restructured_text(), która renderuje reStructuredText po stronie serwera bez wyłączania dyrektyw wstawiania plików. Atakujący może odczytać lokalne pliki, do których ma dostęp proces serwera NiceGUI.
Ocena ryzyka
Atakujący może odczytać poufne pliki na serwerze, takie jak konfiguracja, klucze lub dane użytkowników, co prowadzi do wycieku informacji.
Rekomendacja
Należy zaktualizować NiceGUI do wersji 3.12.0 lub nowszej, która zawiera poprawkę wyłączającą niebezpieczne dyrektywy Docutils.
Inne podatności w NiceGUI
Zobacz wszystkie- CVE-2026-21873Wysokie
NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.
- CVE-2026-45554Średnie
NiceGUI to framework UI oparty na Pythonie. Przed wersją 3.12.0 dwie trasy FastAPI obsługujące statyczne zasoby na komponent akceptują parametr sub-ścieżki, który może rozwiązać się do katalogu zamiast pliku. Żądania rozwiązujące się do katalogu powodują nieobsłużony RuntimeError wewnątrz FileResponse Starlette, który Uvicorn zapisuje do dziennika serwera jako pełny ślad stosu. Ponieważ trasy są osiągalne bez uwierzytelnienia, zdalny atakujący może zwiększyć objętość dziennika i zużyć pojemność dysku i potoku dziennika na każdym publicznie dostępnym serwerze NiceGUI. Problem został naprawiony w wersji 3.12.0.
- CVE-2026-39844Średnie
NiceGUI, framework UI w Pythonie, przed wersją 3.10.0 jest podatny na zapis dowolnego pliku w systemie Windows. Ponieważ PurePosixPath rozpoznaje tylko ukośniki (/) jako separatory ścieżek, atakujący może użyć backslashy (\) w nazwie przesyłanego pliku, aby ominąć sanityzację.
- CVE-2025-66470Średnie
NiceGUI to framework UI w Pythonie. Wersje 3.3.1 i starsze są podatne na XSS poprzez komponent ui.interactive_image, który renderuje zawartość SVG za pomocą dyrektywy v-html Vue bez sanityzacji. Atakujący może wstrzyknąć złośliwy HTML lub JavaScript poprzez tag <foreignObject> SVG, gdy komponent obrazu jest renderowany lub aktualizowany.
- CVE-2025-53354Średnie
NiceGUI, framework UI oparty na Pythonie, w wersjach 2.24.2 i niższych jest narażony na Cross-Site Scripting (XSS), gdy programiści renderują nieucieczone dane wejściowe użytkownika do DOM za pomocą ui.html(). Brak sanityzacji HTML lub JavaScript pozwala atakującym na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika. Aplikacje, które nie przekazują niezaufanych danych do ui.html(), nie są dotknięte. Problem naprawiono w wersji 3.0.0.
Oryginalny opis (angielski, źródło NVD)
NiceGUI is a Python-based UI framework. Prior to version 3.12.0, ui.restructured_text() renders reStructuredText server-side with Docutils without disabling file insertion directives. When a NiceGUI application passes attacker-controlled content to ui.restructured_text(), an attacker can use standard Docutils directives (include, csv-table with :file:, raw with :file:) to read local files readable by the NiceGUI server process. Applications that only pass trusted static strings to ui.restructured_text() are not affected. This issue has been patched in version 3.12.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS