🇰🇷 한글 설명
NiceGUI 3.3.1 이하 버전의 ui.interactive_image 컴포넌트에서 XSS 취약점이 발견되었습니다. 해당 컴포넌트가 SVG 콘텐츠를 렌더링할 때 Vue의 v-html 지시어를 사용하면서 적절한 검증을 거치지 않아, 공격자가 <foreignObject> 태그를 통해 악성 HTML이나 자바스크립트를 삽입할 수 있습니다. 이 문제는 3.4.0 버전에서 수정되었습니다.
💡 쉬운 설명
웹 화면에 이미지를 보여주는 기능에 보안 구멍이 있어, 나쁜 코드가 담긴 이미지를 올리면 사용자의 정보를 훔칠 수 있습니다. 이미지를 보여줄 때 코드를 깨끗하게 청소하는 과정이 빠져서 발생하는 문제입니다.
🇺🇸 원문 (English)
NiceGUI is a Python-based UI framework. Versions 3.3.1 and below are subject to a XSS vulnerability through the ui.interactive_image component of NiceGUI. The component renders SVG content using Vue's v-html directive without any sanitization. This allows attackers to inject malicious HTML or JavaScript via the SVG <foreignObject> tag whenever the image component is rendered or updated. This is particularly dangerous for dashboards or multi-user applications displaying user-generated content or annotations. This issue is fixed in version 3.4.0.
📍 영향받는 시스템
NiceGUI 3.3.1 및 그 이하 모든 버전
⚔️ 공격 벡터
SVG 파일 내 <foreignObject> 태그를 이용한 악성 스크립트 주입
🛡️ 대응 방법
NiceGUI를 3.4.0 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.4.0 미만이면 취약한 상태입니다.
pip show nicegui | grep Version