Vulnerabilidad en zauberzeug (CVE-2026-27156)

NiceGUI es un framework de Interfaz de Usuario basado en Python. Antes de la versión 3.8.0, varias APIs de NiceGUI que ejecutan métodos en elementos del lado del cliente ('Element.run_method()', 'AgGrid.run_grid_method()', 'EChart.run_chart_method()' y otras) usan un mecanismo de reserva 'eval()' en la función 'runMethod()' del lado de JavaScript. Cuando se pasa una entrada controlada por el usuario como nombre del método, un atacante puede inyectar JavaScript arbitrario que se ejecuta en el navegador de la víctima. Además, 'Element.run_method()' y 'Element.get_computed_prop()' usaban interpolación de cadenas en lugar de 'json.dumps()' para el nombre del método/propiedad, lo que permitía la inyección de comillas para escapar del contexto de cadena previsto. La versión 3.8.0 contiene una corrección.