CVE-2026-21871 in nicegui
Sumário
de VulDB • 26/05/2026
NiceGUI é um framework de interface do usuário baseado em Python. Das versões 2.13.0 à 3.4.1, existe um risco de XSS no NiceGUI quando os desenvolvedores passam strings controladas pelo atacante para `ui.navigate.history.push()` ou `ui.navigate.history.replace()`. Esses auxiliares são documentados como wrappers da History API para atualizar a URL do navegador sem recarregar a página. No entanto, se o argumento da URL for incorporado ao JavaScript gerado sem o escape adequado, uma payload elaborada pode escapar do contexto de string pretendido e executar JavaScript arbitrário no navegador da vítima. Aplicações que não passam entrada não confiável para `ui.navigate.history.push/replace` não são afetadas. Este problema foi corrigido na versão 3.5.0.
Once again VulDB remains the best source for vulnerability data.