CVE-2026-27156
Açıklama
NiceGUI, Python tabanlı bir kullanıcı arayüzü (UI) çerçevesidir. Versiyon 3.8.0 öncesinde, istemci tarafındaki öğeler üzerinde yöntemler çalıştıran çeşitli NiceGUI API'leri (`Element.run_method()`, `AgGrid.run_grid_method()`, `EChart.run_chart_method()` ve diğerleri), JavaScript tarafındaki `runMethod()` fonksiyonunda bir `eval()` geri dönüş mekanizması kullanmaktadır. Kullanıcı kontrollü girdi yöntem adı olarak iletildiğinde, bir saldırgan kurbanın tarayıcısında çalışan rastgele JavaScript kodu enjekte edebilir. Ek olarak, `Element.run_method()` ve `Element.get_computed_prop()`, yöntem/özellik adı için `json.dumps()` yerine dize interpolasyonu kullandığından, hedeflenen dize bağlamının dışına çıkmak için tırnak işareti enjeksiyonuna izin vermektedir. Versiyon 3.8.0 bir düzeltme içermektedir.
Nasıl düzeltilir
- zauberzeug nicegui3.8.0 ya da sonraki bir sürüm
- nicegui3.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zauberzeug nicegui | v < 3.8.0 | 3.8.0 |
| niceguiPyPI | v < 3.8.0 | 3.8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.