CVE-2026-45554
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
NiceGUI to framework UI oparty na Pythonie. Przed wersją 3.12.0 dwie trasy FastAPI obsługujące statyczne zasoby na komponent akceptują parametr sub-ścieżki, który może rozwiązać się do katalogu zamiast pliku. Żądania rozwiązujące się do katalogu powodują nieobsłużony RuntimeError wewnątrz FileResponse Starlette, który Uvicorn zapisuje do dziennika serwera jako pełny ślad stosu. Ponieważ trasy są osiągalne bez uwierzytelnienia, zdalny atakujący może zwiększyć objętość dziennika i zużyć pojemność dysku i potoku dziennika na każdym publicznie dostępnym serwerze NiceGUI. Problem został naprawiony w wersji 3.12.0.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu Denial of Service (DoS) poprzez zapełnienie dysku logami, co może zakłócić działanie serwera i utrudnić monitorowanie.
Rekomendacja
Zaleca się aktualizację NiceGUI do wersji 3.12.0 lub nowszej, aby zapobiec generowaniu nadmiernych logów.
Inne podatności w NiceGUI
Zobacz wszystkie- CVE-2026-21873Wysokie
NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.
- CVE-2026-45553Wysokie
NiceGUI w wersji przed 3.12.0 zawiera podatność w ui.restructured_text(), która renderuje reStructuredText po stronie serwera bez wyłączania dyrektyw wstawiania plików. Atakujący może odczytać lokalne pliki, do których ma dostęp proces serwera NiceGUI.
- CVE-2026-39844Średnie
NiceGUI, framework UI w Pythonie, przed wersją 3.10.0 jest podatny na zapis dowolnego pliku w systemie Windows. Ponieważ PurePosixPath rozpoznaje tylko ukośniki (/) jako separatory ścieżek, atakujący może użyć backslashy (\) w nazwie przesyłanego pliku, aby ominąć sanityzację.
Oryginalny opis (angielski, źródło NVD)
NiceGUI is a Python-based UI framework. Prior to version 3.12.0, two FastAPI routes that serve per-component static assets in NiceGUI accept a sub-path parameter that may resolve to a directory rather than a file. Requests that resolve to a directory raise an unhandled RuntimeError inside Starlette's FileResponse, which Uvicorn writes to the server log as a full traceback. Because the routes are reachable without authentication, a remote attacker can amplify log volume and consume disk and log-pipeline capacity on any publicly reachable NiceGUI server. This issue has been patched in version 3.12.0.