CVE-2026-25732

Résumé

NiceGUI est un framework d'interface utilisateur basé sur Python. Avant la version 3.7.0, la propriété FileUpload.name de NiceGUI expose les métadonnées de nom de fichier fournies par le client sans assainissement, permettant un traversement de chemin lorsque les développeurs utilisent le modèle UPLOAD_DIR / file.name. Les noms de fichiers malveillants contenant des séquences ../ permettent aux attaquants d'écrire des fichiers en dehors des répertoires prévus, avec un potentiel d'exécution de code à distance via l'écrasement de fichiers d'application dans des modèles de déploiement vulnérables. Cette conception crée un piège de sécurité courant affectant les applications qui suivent des modèles courants de la communauté. Remarque : L'exploitation nécessite que le code de l'application intègre file.name dans les chemins du système de fichiers sans assainissement. Les applications utilisant des chemins fixes, des noms de fichiers générés ou un assainissement explicite ne sont pas affectées. Cette vulnérabilité est corrigée dans la version 3.7.0.

• CVE-2026-25732-NiceGUI-3.6.1Exploit

  Exploit pour CVE-2026-25732, un path traversal dans FileUpload de NiceGUI qui permet l'écriture arbitraire de fichiers sans authentification. Inclut des exemples d'utilisation pour écraser des fichiers applicatifs ou déposer des webshells.

• NiceGUI 3.6.1 - Path Traversal