Към съдържанието
Търсене

CVE-2026-73626: jupyterlab, заобикаляне на вход и права

7.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

JupyterLab versions >=4.6.0,<=4.6.1 and <=4.5.9 contain an allowlist/blocklist enforcement gap in PyPIExtensionManager.install(). A missing 'await' caused the is_install_allowed coroutine to never execute, so the extension allowlist/blocklist check was not enforced for direct callers of install(). The stock JupyterLab HTTP API and Extension Manager UI are not affected, as they perform a separate, correctly awaited check. The issue affects only deployments where a custom extension or downstream integration imports PyPIExtensionManager and calls install() directly with a package name influenced by untrusted input, an allowlist/blocklist is configured, the PyPI Extension Manager is enabled, and kernels and terminals are disabled or delegated to remote hosts. Fixed in JupyterLab 4.6.2 and 4.5.10.

Засегнати продукти

  • jupyterlab jupyterlab: 4.6.0 преди 4.6.1; 4.6.1
  • jupyterlab jupyterlab: преди 4.5.10; 4.5.10

Вид слабост

История

  • 13 август 2026 Публикувано

Други уязвимости в jupyterlab jupyterlab

Първоизточници

CVE-2026-73626: jupyterlab, заобикаляне на вход и права | freedomonline.bg