🇰🇷 한글 설명
NiceGUI 프레임워크의 leaflet 컴포넌트에서 로컬 파일 포함(LFI) 취약점이 발견되었습니다. `/_nicegui/{__version__}/resources/{key}/{path:path}` 경로를 통해 웹 서버가 접근 가능한 백엔드 파일시스템의 모든 파일을 읽을 수 있으며, 버전 1.4.21에서 패치되었습니다.
💡 쉬운 설명
NiceGUI 웹 프레임워크에서 특정 경로로 요청할 때 서버의 파일을 마음대로 읽을 수 있는 버그가 있습니다. 공격자가 이를 악용하여 민감한 정보가 담긴 파일들을 훔칠 수 있습니다.
🇺🇸 원문 (English)
NiceGUI is an easy-to-use, Python-based UI framework. A local file inclusion is present in the NiceUI leaflet component when requesting resource files under the `/_nicegui/{__version__}/resources/{key}/{path:path}` route. As a result any file on the backend filesystem which the web server has access to can be read by an attacker with access to the NiceUI leaflet website. This vulnerability has been addressed in version 1.4.21. Users are advised to upgrade. There are no known workarounds for this vulnerability.
📍 영향받는 시스템
NiceGUI < 1.4.21
⚔️ 공격 벡터
/_nicegui/{version}/resources/{key}/{path:path} 경로를 통한 경로 조작으로 임의 파일 읽기
🛡️ 대응 방법
NiceGUI를 1.4.21 이상으로 업그레이드
🔧 검증 코드
Version 1.4.21 이상이면 안전, 1.4.21 미만이면 취약
pip show nicegui | grep Version