NiceGUI allows potential access to local file system
NiceGUI is an easy-to-use, Python-based UI framework. A local file inclusion is present in the NiceUI leaflet component when requesting resource files under the /_nicegui/{__version__}/resources/{key}/{path:path} route.
As a result any file on the backend filesystem which the web server has access to can be read by an attacker with access to the NiceUI leaflet website.
This vulnerability has been addressed in version 1.4.21. Users are advised to upgrade. There are no known workarounds for this vulnerability.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | nicegui | >= 1.4.6, < 1.4.21 | 1.4.21 |
Odnośniki
- https://github.com/zauberzeug/nicegui/security/advisories/GHSA-mwc7-64wg-pgvj
- https://nvd.nist.gov/vuln/detail/CVE-2024-32005
- https://github.com/zauberzeug/nicegui/commit/ed12eb14f2a6c48b388a05c04b3c5a107ea9d330
- https://github.com/zauberzeug/nicegui
- https://huntr.com/bounties/29ec621a-bd69-4225-ab0f-5bb8a1d10c67
- https://pypi.org/project/nicegui
- https://github.com/advisories/GHSA-mwc7-64wg-pgvj
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:L- Słabość (CWE)
CWE-22, CWE-23- Platforma
- Python (PyPI)
- Paczka
nicegui- Ujawniono
- 12.04.2024
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1704 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-mwc7-64wg-pgvj - CC BY 4.0
Historia podatności: nicegui
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 17
- Pierwsza → ostatnia
- 04.2024 05.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 6
- Średnia 11
Ujawnienia w latach
- 2024: 1
- 2025: 5
- 2026: 11
-
NiceGUI allows potential access to local file system ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.