Към съдържанието
Търсене

CVE-2026-42557: jupyterlab, XSS

8.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

jupyterlab is an extensible environment for interactive and reproducible computing, based on the Jupyter Notebook Architecture. Prior to 4.5.7, JupyterLab's HTML sanitizer allowlists data-commandlinker-command and data-commandlinker-args on button elements, while CommandLinker listens for all click events on document.body and executes the named command without checking whether the element came from trusted JupyterLab UI. A notebook with a pre-saved HTML cell output containing a deceptive button can trigger arbitrary JupyterLab commands - including arbitrary code execution - on a single user click, without any code being submitted for execution by the user. This vulnerability is fixed in 4.5.7.

Засегнати продукти

  • jupyterlab jupyterlab: < 4.5.7
  • jupyter notebook: >= 7.0.0, < 7.5.6
  • Red Hat Red Hat Migration Toolkit for Applications 8.2: 1784109883 преди *
  • Red Hat Red Hat OpenShift AI 3.4: 1787076778 преди *
  • Red Hat Red Hat OpenShift AI (RHOAI)

Вид слабост

История

  • 13 май 2026 Публикувано

Други уязвимости в jupyterlab jupyterlab

Първоизточници

CVE-2026-42557: jupyterlab, XSS | freedomonline.bg