🇰🇷 한글 설명
NiceGUI는 파이썬 기반의 UI 프레임워크입니다. 2.22.0부터 3.4.1까지의 버전에서 ui.sub_pages에 의해 사용되는 pushstate 이벤트 리스너의 안전하지 않은 구현으로 인해 공격자가 URL의 프래그먼트 식별자를 조작할 수 있으며, 이는 크로스 사이트 상황에서도 아이프레임을 사용하여 수행할 수 있습니다. 이 문제는 3.5.0 버전에서 패치되었습니다.
💡 쉬운 설명
NiceGUI의 일부 버그로 인해 공격자가 URL을 조작할 수 있습니다. 이는 크로스 사이트 상황에서도 발생할 수 있습니다. 이 문제는 3.5.0 버전에서 해결되었습니다.
🇺🇸 원문 (English)
NiceGUI is a Python-based UI framework. From versions 2.22.0 to 3.4.1, an unsafe implementation in the pushstate event listener used by ui.sub_pages allows an attacker to manipulate the fragment identifier of the URL, which they can do despite being cross-site, using an iframe. This issue has been patched in version 3.5.0.
📍 영향받는 시스템
NiceGUI 2.22.0 ~ 3.4.1
⚔️ 공격 벡터
크로스 사이트 상황에서 아이프레임을 사용하여 URL의 프래그먼트 식별자 조작
🛡️ 대응 방법
NiceGUI를 3.5.0 버전 이상으로 업데이트합니다.
🔧 검증 코드
로컬 시스템에서 Python을 실행할 수 있는 환경이 필요합니다. pip를 통해 nicegui 패키지를 설치한 경우에만 동작합니다. 코드를 실행하기 전에 nicegui 패키지가 설치되어 있는지 확인합니다.
import pkg_resources
nicegui_version = pkg_resources.get_distribution('nicegui').version
if nicegui_version >= '3.5.0':
print({"result": "양호", "reason": "NiceGUI 버전이 3.5.0 이상입니다."})
else:
print({"result": "취약", "reason": "NiceGUI 버전이 3.5.0 미만입니다."})