🇰🇷 한글 설명
NiceGUI 3.3.1 이하 버전에서 ui.add_css, ui.add_scss, ui.add_sass 함수를 통해 반사형 XSS 취약점이 발생합니다. 해당 함수들이 JavaScript 컨텍스트에 대한 적절한 검증이나 인코딩을 수행하지 않아, 공격자가 닫기 태그를 주입하여 임의의 JavaScript를 실행할 수 있습니다.
💡 쉬운 설명
웹 화면을 꾸미는 코드를 입력할 때 보안 검사가 제대로 되지 않아 발생하는 문제입니다. 공격자가 악성 코드를 몰래 끼워 넣어 사용자의 브라우저에서 원치 않는 동작을 실행하게 만들 수 있습니다.
🇺🇸 원문 (English)
NiceGUI is a Python-based UI framework. Versions 3.3.1 and below are vulnerable to Reflected XSS through its ui.add_css, ui.add_scss, and ui.add_sass functions. The functions lack proper sanitization or encoding for the JavaScript context they generate. An attacker can break out of the intended <style> or <script> tags by injecting closing tags (e.g., </style> or </script>), allowing for the execution of arbitrary JavaScript. This issue is fixed in version 3.4.0.
📍 영향받는 시스템
NiceGUI 3.3.1 및 그 이하 모든 버전
⚔️ 공격 벡터
ui.add_css 등의 함수에 </style> 또는 </script>와 같은 닫기 태그를 주입하여 스크립트 실행 환경을 탈취하는 방식
🛡️ 대응 방법
NiceGUI 버전을 3.4.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 3.4.0 미만이면 취약한 상태입니다.
pip show nicegui | grep Version