CVE-2026-21871 in nicegui
Résumé
par VulDB • 26/05/2026
NiceGUI est un framework d'interface utilisateur basé sur Python. Des versions 2.13.0 à 3.4.1, une vulnérabilité XSS existe dans NiceGUI lorsque les développeurs transmettent des chaînes de caractères contrôlées par l'attaquant à `ui.navigate.history.push()` ou `ui.navigate.history.replace()`. Ces fonctions sont documentées comme des wrappers de l'API History pour mettre à jour l'URL du navigateur sans recharger la page. Cependant, si l'argument URL est intégré dans le JavaScript généré sans échappement approprié, une charge utile fabriquée peut s'échapper du contexte de chaîne prévu et exécuter du JavaScript arbitraire dans le navigateur de la victime. Les applications qui ne transmettent pas d'entrées non fiables à `ui.navigate.history.push/replace` ne sont pas affectées. Ce problème a été corrigé dans la version 3.5.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.