NiceGUIはPythonベースのUIフレームワークです。バージョン2.13.0から3.4.1までの間、開発者が攻撃者によって制御される文字列をui.navigate.history.push()またはui.navigate.history.replace()に渡すと、NiceGUIにXSSのリスクが発生します。これらのヘルパーは、ページ再読み込みなしでブラウザのURLを更新するためのHistory APIのラッパーとして文書化されています。しかし、URL引数が適切にエスケープされずに生成されたJavaScriptに埋め込まれると、細工されたペイロードが意図した文字列コンテキストを破り、被害者のブラウザで任意のJavaScriptを実行させる可能性があります。信頼されていない入力をui.navigate.history.push()またはreplace()に渡さないアプリケーションには影響がありません。この問題はバージョン3.5.0で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。