CVE-2026-25732 in NiceGUI
Riassunto
di VulDB • 15/06/2026
NiceGUI è un framework UI basato su Python. Prima della versione 3.7.0, la proprietà FileUpload.name di NiceGUI espone i metadati del nome del file forniti dal client senza sanitizzazione, consentendo una path traversal quando gli sviluppatori utilizzano il pattern UPLOAD_DIR / file.name. Nomi di file malevoli contenenti sequenze ../ permettono agli attaccanti di scrivere file al di fuori delle directory previste, con potenziale per remote code execution (RCE) attraverso la sovrascrittura di file dell'applicazione in configurazioni vulnerabili. Questo design crea una comune insicurezza ("security footgun") che colpisce le applicazioni che seguono pattern comuni della community. Nota: l'exploit richiede codice applicativo che incorpori file.name nei percorsi del filesystem senza sanitizzazione. Le applicazioni che utilizzano percorsi fissi, nomi di file generati o esplicita sanitizzazione non sono interessate. Questa vulnerabilità è risolta nella versione 3.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.