CVE-2026-25516
Təsvir
NiceGUI Python əsaslı UI freymvorkudur. ui.markdown() komponenti markdown məzmununu HTML-ə çevirmək üçün markdown2 kitabxanasından istifadə edir və daha sonra bu məzmun innerHTML vasitəsilə təsvir olunur. Defolt olaraq, markdown2 xam HTML-in dəyişdirilmədən ötürülməsinə icazə verir. Bu o deməkdir ki, əgər tətbiq istifadəçi tərəfindən idarə olunan məzmunu ui.markdown() vasitəsilə təsvir edirsə, hücumçu JavaScript hadisə idarəediciləri olan zərərli HTML inyeksiya edə bilər. HTML təsvir edən digər NiceGUI komponentlərindən (ui.html(), ui.chat_message(), ui.interactive_image()) fərqli olaraq, ui.markdown() komponenti sanitize parametrini təmin etmir və ya tələb etmir, bu da tətbiqləri XSS hücumlarına qarşı həssas edir. Bu boşluq 3.7.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- zauberzeug nicegui3.7.0 və ya daha yeni versiya
- nicegui3.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zauberzeug nicegui | v < 3.7.0 | 3.7.0 |
| niceguiPyPI | v < 3.7.0 | 3.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.