CVE-2026-25732 in NiceGUI
الملخص
بحسب VulDB • 06/06/2026
تُعد NiceGUI إطار عمل للواجهات البرمجية مبني على لغة بايثون. قبل الإصدار 3.7.0، كانت خاصية FileUpload.name في NiceGUI تكشف عن بيانات تعريفية لاسم الملف الذي يقدمه العميل دون تعقيم (sanitization)، مما يتيح ثغرة عبور المسار (path traversal) عندما يستخدم المطورون النمط UPLOAD_DIR / file.name. تتيح أسماء الملفات الخبيثة التي تحتوي على تسلسلات ../ للمهاجمين كتابة ملفات خارج الدلائل المقصودة، مع احتمال تنفيذ الأكواد عن بُعد (RCE) من خلال تجاوز الملفات التطبيقية في أنماط النشر المعرضة للخطر. يخلق هذا التصميم ثغرة أمنية شائعة تؤثر على التطبيقات التي تتبع الأنماط المجتمعية الشائعة. ملاحظة: يتطلب الاستغلال وجود كود تطبيقي يدمج file.name في مسارات نظام الملفات دون تعقيم. التطبيقات التي تستخدم مسارات ثابتة، أو أسماء ملفات مُولَّدة، أو تعقيماً صريحاً، ليست متأثرة. تم إصلاح هذه الثغرة في الإصدار 3.7.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.