CVE-2026-21871 in nicegui
Riassunto
di VulDB • 17/06/2026
NiceGUI è un framework UI basato su Python. Dalle versioni 2.13.0 alla 3.4.1, NiceGUI presenta un rischio XSS quando gli sviluppatori passano stringhe controllate dall'attaccante a `ui.navigate.history.push()` o `ui.navigate.history.replace()`. Questi helper sono documentati come wrapper dell'API History per aggiornare l'URL del browser senza ricaricare la pagina. Tuttavia, se l'argomento URL viene incorporato nel JavaScript generato senza una corretta escape sequence, un payload costruito ad hoc può sfuggire al contesto della stringa previsto ed eseguire codice JavaScript arbitrario nel browser della vittima. Le applicazioni che non passano input non attendibili a `ui.navigate.history.push/replace` non sono interessate. Questo problema è stato risolto nella versione 3.5.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.