关键信息 漏洞概述 漏洞类型: 反射型跨站脚本攻击 (XSS) 受影响版本: <3.0.0 修复版本: 3.0.0 严重性: 中等 (6.1/10) 描述 问题: 在 NiceGUI 中，当开发者使用 或 渲染未转义的用户输入到 DOM 时，存在 XSS 风险。 原因: 在 3.0.0 版本之前，NiceGUI 不强制执行 HTML 或 JavaScript 的转义，直接组合组件（如 和 ）可能会允许攻击者在用户的浏览器中执行任意 JavaScript。 影响 攻击向量: 用户输入作为原始 HTML 渲染 受影响用户: 使用 或 处理包含 HTML 内容的用户输入的任何基于 NiceGUI 的应用程序 PoC (概念验证) 1. 创建一个简单的应用: 2. 运行应用: 3. 在浏览器中输入以下 payload: 4. 观察 JavaScript 警告弹窗: CVSS v3 基础指标 攻击向量: 网络 攻击复杂度: 低 所需权限: 无 用户交互: 必须 作用范围: 改变 机密性影响: 低 完整性影响: 低 可用性影响: 无 CVE ID CVE-2025-53354 弱点 CWE-79