CVE-2026-21871
Təsvir
NiceGUI Python əsaslı UI freymvorkudur. Versiya 2.13.0-dan 3.4.1-ə qədər olan versiyalarda, tərtibatçılar hücumçu tərəfindən idarə olunan sətirləri ui.navigate.history.push() və ya ui.navigate.history.replace() funksiyalarına ötürdükdə NiceGUI-da XSS riski yaranır. Bu köməkçi funksiyalar səhifəni yeniləmədən brauzer URL-ini yeniləmək üçün History API wrapper-ləri kimi sənədləşdirilib. Lakin, əgər URL arqumenti düzgün escape edilmədən generasiya olunmuş JavaScript daxilinə yerləşdirilərsə, xüsusi hazırlanmış fayllar nəzərdə tutulmuş sətir kontekstindən çıxa və qurbanın brauzerində ixtiyari JavaScript kodunu icra edə bilər. Etibarsız giriş məlumatlarını ui.navigate.history.push/replace funksiyalarına ötürməyən tətbiqlər bu problemdən təsirlənmir. Bu problem 3.5.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- zauberzeug nicegui3.5.0 və ya daha yeni versiya
- nicegui3.5.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zauberzeug nicegui | 2.13.0 ≤ v < 3.5.0 | 3.5.0 |
| niceguiPyPI | 2.13.0 ≤ v < 3.5.0 | 3.5.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.