CVE-2026-33332

إصدارات NiceGUI الأقدم من 3.9.0

تتعرض دالتا app.add media file() وapp.add media files() في NiceGUI لثغرة أمنية تسمح لمعلمة استعلام يتحكم فيها المستخدم — يتم تمريرها إلى آلية تنفيذ استجابة النطاق دون التحقق من صحتها — بتجاوز آلية البث المقسم إلى أجزاء. وهذا يسمح للمهاجم بإجبار الخادم على تحميل الملفات بالكامل إلى الذاكرة. مع وجود ملفات وسائط كبيرة وطلبات متزامنة، قد يؤدي ذلك إلى استهلاك مفرط للذاكرة، أو تدهور الأداء، أو رفض الخدمة. تُستخدم الدوال المعرضة للثغرة لتقديم محتوى الوسائط. ويتم تمرير المعلمة إلى تنفيذ range-response.

قم بالترقية إلى إصدار NiceGUI 3.9.0 أو أحدث.

كحل بديل، قم بتقييد الوصول إلى نقاط نهاية الوسائط.

كحل بديل، قم بإزالة معلمات الاستعلام غير المتوقعة في طبقة الوكيل العكسي.