CVE-2026-25516
Açıklama
NiceGUI, Python tabanlı bir kullanıcı arayüzü çerçevesidir. ui.markdown() bileşeni, markdown içeriğini HTML'e dönüştürmek için markdown2 kütüphanesini kullanır ve bu içerik daha sonra innerHTML aracılığıyla işlenir. Varsayılan olarak markdown2, ham HTML'in değiştirilmeden geçmesine izin verir. Bu durum, bir uygulama kullanıcı kontrollü içeriği ui.markdown() üzerinden işlediğinde, bir saldırganın JavaScript olay yöneticileri içeren kötü amaçlı HTML enjekte edebileceği anlamına gelir. HTML işleyen diğer NiceGUI bileşenlerinin (ui.html(), ui.chat_message(), ui.interactive_image()) aksine, ui.markdown() bileşeni bir sanitize parametresi sağlamaz veya gerektirmez; bu da uygulamaları XSS saldırılarına karşı savunmasız bırakır. Bu güvenlik açığı 3.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- zauberzeug nicegui3.7.0 ya da sonraki bir sürüm
- nicegui3.7.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zauberzeug nicegui | v < 3.7.0 | 3.7.0 |
| niceguiPyPI | v < 3.7.0 | 3.7.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.