CVE-2026-21871 in nicegui
摘要
由 VulDB • 2026-05-26
NiceGUI 是一个基于 Python 的 UI 框架。在 2.13.0 至 3.4.1 版本中，NiceGUI 存在 XSS 风险，当开发人员将攻击者控制的字符串传递给 `ui.navigate.history.push()` 或 `ui.navigate.history.replace()` 时，便会触发该漏洞。这些辅助函数被记录为用于在不重新加载页面的情况下更新浏览器 URL 的 History API 包装器。然而，如果 URL 参数在未进行适当转义的情况下被嵌入到生成的 JavaScript 中，精心构造的攻击载荷可以突破预期的字符串上下文，并在受害者的浏览器中执行任意 JavaScript 代码。未将不受信任的输入传递给 `ui.navigate.history.push/replace` 的应用程序不受影响。此问题已在 3.5.0 版本中修复。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.