CVE-2025-66469
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
NiceGUI, framework UI oparty na Pythonie, w wersjach 3.3.1 i starszych jest podatny na reflected XSS poprzez funkcje ui.add_css, ui.add_scss i ui.add_sass. Funkcje te nie zapewniają odpowiedniej sanityzacji ani kodowania dla kontekstu JavaScript, który generują. Atakujący może wyłamać się z zamierzonych tagów <style> lub <script> poprzez wstrzyknięcie tagów zamykających (np. </style> lub </script>), co pozwala na wykonanie dowolnego JavaScriptu. Problem naprawiono w wersji 3.4.0.
Ocena ryzyka
Możliwe jest wykonanie dowolnego JavaScriptu w przeglądarce ofiary, co może prowadzić do kradzieży danych sesji lub działań w imieniu użytkownika.
Rekomendacja
Zaktualizuj NiceGUI do wersji 3.4.0 lub nowszej oraz unikaj przekazywania niezaufanych danych do funkcji ui.add_css, ui.add_scss i ui.add_sass.
Inne podatności w NiceGUI
Zobacz wszystkie- CVE-2026-21873Wysokie
NiceGUI w wersjach od 2.22.0 do 3.4.1 ma niebezpieczną implementację w nasłuchiwaczu zdarzeń pushstate używanym przez ui.sub_pages, co pozwala atakującemu manipulować identyfikatorem fragmentu URL, nawet w kontekście cross-site, używając iframe. Problem został naprawiony w wersji 3.5.0.
- CVE-2026-45554Średnie
NiceGUI to framework UI oparty na Pythonie. Przed wersją 3.12.0 dwie trasy FastAPI obsługujące statyczne zasoby na komponent akceptują parametr sub-ścieżki, który może rozwiązać się do katalogu zamiast pliku. Żądania rozwiązujące się do katalogu powodują nieobsłużony RuntimeError wewnątrz FileResponse Starlette, który Uvicorn zapisuje do dziennika serwera jako pełny ślad stosu. Ponieważ trasy są osiągalne bez uwierzytelnienia, zdalny atakujący może zwiększyć objętość dziennika i zużyć pojemność dysku i potoku dziennika na każdym publicznie dostępnym serwerze NiceGUI. Problem został naprawiony w wersji 3.12.0.
- CVE-2026-45553Wysokie
NiceGUI w wersji przed 3.12.0 zawiera podatność w ui.restructured_text(), która renderuje reStructuredText po stronie serwera bez wyłączania dyrektyw wstawiania plików. Atakujący może odczytać lokalne pliki, do których ma dostęp proces serwera NiceGUI.
- CVE-2026-39844Średnie
NiceGUI, framework UI w Pythonie, przed wersją 3.10.0 jest podatny na zapis dowolnego pliku w systemie Windows. Ponieważ PurePosixPath rozpoznaje tylko ukośniki (/) jako separatory ścieżek, atakujący może użyć backslashy (\) w nazwie przesyłanego pliku, aby ominąć sanityzację.
- CVE-2025-66645Wysokie
NiceGUI to framework UI oparty na Pythonie. W wersjach 3.3.1 i starszych funkcja App.add_media_files() jest podatna na directory traversal, co pozwala zdalnemu atakującemu na odczyt dowolnych plików z systemu plików serwera. Podatność została naprawiona w wersji 3.4.0.
- CVE-2025-66470Średnie
NiceGUI to framework UI w Pythonie. Wersje 3.3.1 i starsze są podatne na XSS poprzez komponent ui.interactive_image, który renderuje zawartość SVG za pomocą dyrektywy v-html Vue bez sanityzacji. Atakujący może wstrzyknąć złośliwy HTML lub JavaScript poprzez tag <foreignObject> SVG, gdy komponent obrazu jest renderowany lub aktualizowany.
- CVE-2025-53354Średnie
NiceGUI, framework UI oparty na Pythonie, w wersjach 2.24.2 i niższych jest narażony na Cross-Site Scripting (XSS), gdy programiści renderują nieucieczone dane wejściowe użytkownika do DOM za pomocą ui.html(). Brak sanityzacji HTML lub JavaScript pozwala atakującym na wykonanie dowolnego JavaScriptu w przeglądarce użytkownika. Aplikacje, które nie przekazują niezaufanych danych do ui.html(), nie są dotknięte. Problem naprawiono w wersji 3.0.0.
Oryginalny opis (angielski, źródło NVD)
NiceGUI is a Python-based UI framework. Versions 3.3.1 and below are vulnerable to Reflected XSS through its ui.add_css, ui.add_scss, and ui.add_sass functions. The functions lack proper sanitization or encoding for the JavaScript context they generate. An attacker can break out of the intended <style> or <script> tags by injecting closing tags (e.g., </style> or </script>), allowing for the execution of arbitrary JavaScript. This issue is fixed in version 3.4.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS