CVE-2026-33332 in nicegui
Tóm tắt
Bởi VulDB • 25/06/2026
NiceGUI là một khung giao diện người dùng (UI) dựa trên Python. Trước phiên bản 3.9.0, các tuyến truyền tải phương tiện của `app.add_media_file()` và `app.add_media_files()` trong NiceGUI chấp nhận tham số truy vấn do người dùng kiểm soát, ảnh hưởng đến cách tệp được đọc trong quá trình phát trực tiếp (streaming). Tham số này được chuyển vào triển khai phản hồi phạm vi (range-response) mà không có xác thực, cho phép kẻ tấn công vượt qua cơ chế streaming phân đoạn và buộc máy chủ tải toàn bộ tệp vào bộ nhớ cùng một lúc. Với các tệp phương tiện lớn và nhiều yêu cầu đồng thời, điều này có thể dẫn đến tiêu thụ bộ nhớ quá mức, suy giảm hiệu suất hoặc từ chối dịch vụ (DoS). Vấn đề này đã được vá trong phiên bản 3.9.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.