PT-2025-40595
CVE-2025-53354
·
تاريخ النشر
2025-10-03
·
تاريخ التحديث
2026-07-07
الوصف من
CVSS 3.1
6.1
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات NiceGUI الأقدم من 3.0.0
الوصف
يُعتبر NiceGUI، وهو إطار عمل لواجهة المستخدم (UI) قائم على لغة Python، عرضة لهجمات البرمجة النصية عبر المواقع (XSS) عندما يقوم المطورون بعرض مدخلات المستخدم غير المُعالجة في DOM باستخدام
ui.html(). لم يكن إطار العمل يطبق عملية تنقية HTML أو JavaScript قبل الإصدار 3.0.0، مما يسمح للمهاجمين بتنفيذ جافا سكريبت تعسفي في متصفح المستخدم في حالة قيام التطبيقات بدمج مكونات مثل ui.input() مباشرةً مع ui.html() أو ui.chat message مع محتوى HTML دون إجراء عملية الهروب اللازمة. يحدث مسار الكود المعرض للخطر عندما يتم عرض مدخلات المستخدم حرفياً في DOM للصفحة عبر innerHTML. يثبت نموذج إثبات المفهوم أن حقن حمولة ضارة، مثل <img src=x onerror=alert(’XSS‘)>، يؤدي إلى ظهور تنبيه JavaScript. تؤثر هذه المشكلة على التطبيقات التي تعكس مدخلات المستخدم مباشرةً عبر ui.html() أو ui.chat message في وضع HTML، مما قد يؤدي إلى تنفيذ كود على جانب العميل، بما في ذلك اختطاف الجلسة أو التصيد الاحتيالي.التوصيات
قم بالتحديث إلى الإصدار 3.0.0 أو أحدث من NiceGUI لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾