漏洞概述

CVE-2025-66470记录了Python Web UI框架NiceGUI中存在的一个安全漏洞。在3.3.1及更早版本中，框架的ui.interactive_image组件在处理SVG（可缩放矢量图形）内容时存在缺陷，可能引发存储型或反射型跨站脚本攻击，具体类型取决于恶意内容的来源方式[citation:1][citation:4]。

技术根源

该漏洞的核心在于前端渲染机制的安全缺失：

1. 危险的渲染方式：ui.interactive_image组件在渲染时，直接使用Vue.js的v-html指令来插入SVG内容[citation:1][citation:8]。v-html指令会将其内容作为原始HTML进行解析和渲染，而不会对潜在的危险脚本进行任何过滤或转义。
2. 攻击向量：SVG格式支持<foreignObject>标签，该标签允许在SVG内部嵌入HTML、甚至脚本内容。由于缺乏净化，攻击者可以构造一个包含恶意JavaScript的<foreignObject>载荷。当该载荷被传递给interactive_image组件的content属性时，其中的脚本将被浏览器执行[citation:1][citation:3]。

漏洞影响与风险

• 受影响版本：NiceGUI版本 <= 3.3.1[citation:1][citation:4]。
• 安全风险：成功利用此漏洞，攻击者可以在受害用户的浏览器上下文中执行任意JavaScript代码。这可能用于窃取用户会话Cookie、篡改网页内容、发起进一步攻击等[citation:1]。
• 高风险场景：此漏洞在显示用户生成内容或注解的仪表板、多用户应用中尤为危险，因为攻击者可能提交恶意内容并将其存储（存储型XSS），影响所有查看该内容的用户[citation:1][citation:8]。

修复方案

• 官方修复：此问题已在NiceGUI 3.4.0版本中得到修复[citation:1][citation:4]。开发团队对代码进行了修改，为InteractiveImage及其相关的InteractiveImageLayer组件引入了sanitize（净化）参数，确保用户提供的内容在渲染前经过安全处理[citation:3]。
• 用户措施：所有使用受影响版本的用户应尽快升级至3.4.0或更高版本[citation:1]。

概念解析

• 跨站脚本攻击：一种常见的网络攻击，攻击者将恶意脚本注入到其他用户信任的网页中，当用户浏览该网页时，脚本会在其浏览器执行。
• SVG：一种基于XML的矢量图像格式，其文件本质上是文本，可以包含可执行代码。
• v-html指令：Vue.js框架中的一个特性，用于输出真正的HTML内容。由于其会跳过Vue的数据绑定安全检查，直接渲染提供的字符串，因此如果内容来源不可信，使用它非常危险。