CVE-2026-25732 in NiceGUI
요약
\~에 의해 VulDB • 2026. 06. 08.
NiceGUI는 Python 기반의 UI 프레임워크입니다. 버전 3.7.0 이전에서 NiceGUI의 FileUpload.name 속성은 정제(sanitization) 없이 클라이언트가 제공한 파일 이름 메타데이터를 노출하며, 이는 개발자가 UPLOAD_DIR / file.name 패턴을 사용할 때 경로 순회(Path Traversal) 취약점을 유발합니다. ../ 시퀀스를 포함하는 악성 파일명을 통해 공격자는 의도된 디렉토리 외부에 파일을 작성할 수 있으며, 이로 인해 취약한 배포 환경에서 애플리케이션 파일 덮어쓰기를 통한 원격 코드 실행(RCE)이 가능해질 수 있습니다. 이러한 설계는 일반적인 커뮤니티 패턴을 따르는 애플리케이션에 영향을 미치는 흔한 보안 실수(security footgun)를 초래합니다. 참고: 이 공격은 file.name을 정제 없이 파일시스템 경로에 포함하는 애플리케이션 코드가 있을 경우에만 가능합니다. 고정 경로를 사용하거나, 생성된 파일명을 사용하거나, 명시적인 정제를 적용하는 애플리케이션은 영향을 받지 않습니다. 이 취약점은 3.7.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.