NiceGUI の app.add_media_files() にパス・トラバーサル脆弱性があり、任意のファイル読み出しが可能

この脆弱性は、攻撃者がNiceGUIアプリケーションのaddmediafiles()関数を悪用することで、サーバー上のファイルシステムを自由に閲覧することを可能にします。攻撃者は、ファイルパスを操作することで、本来アクセスできないはずの機密ファイル（設定ファイル、ソースコード、データベースダンプなど）を読み出すことができます。これにより、認証情報の漏洩、システム設定の改ざん、さらにはサーバー全体の制御権の奪取といった深刻な被害が発生する可能性があります。この脆弱性は、類似のパストラバーサル脆弱性と共通の攻撃パターンを持ち、攻撃者はディレクトリトラバーサルシーケンス（例：../）を挿入することで、ファイルパスを意図的に操作します。

Organizations and individuals deploying NiceGUI applications, particularly those serving media files, are at risk. Shared hosting environments where multiple users share the same server are especially vulnerable, as an attacker could potentially exploit this vulnerability to access files belonging to other users.

• python / server:

# Check for vulnerable NiceGUI versions
python -c "import nicegui; print(nicegui.__version__)"

• generic web:

curl -I 'http://your-nicegui-app/path/../sensitive/file.txt' # Check for file disclosure

1. 2025-12-09Disclosure

   disclosure

1. 予約済み2025-12-05
2. 公開日2025-12-09
3. 更新日2026-02-03
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、まずNiceGUIをバージョン3.4.0にアップデートすることが最も効果的です。アップデートが困難な場合は、WAF（Web Application Firewall）を導入し、ディレクトリトラバーサル攻撃を検知・防御するルールを設定することを検討してください。また、addmediafiles()メソッドを使用する際に、ファイルパスの入力を厳密に検証し、不正な文字やシーケンスが含まれていないか確認する入力検証を実装することも有効です。ファイルアクセス権限を適切に設定し、NiceGUIプロセスがアクセスできるファイル範囲を制限することも、被害を最小限に抑えるための対策となります。