CVE-2025-23205

nbgrader notebooklərin təyin edilməsi və qiymətləndirilməsi üçün nəzərdə tutulmuş sistemdir. `frame-ancestors: 'self'` parametrinin aktivləşdirilməsi, hər hansı JupyterHub istifadəçisinə, formgrader-ə giriş imkanı olan istifadəçilərə zərərli keçidlər göndərməklə formgrader məzmununu çıxarmaq imkanı verir; bu, xüsusilə JupyterHub-ın standart `enable_subdomains = False` konfiqurasiyasından istifadə edildikdə baş verir. #1915 nömrəli dəyişiklik, Alice adlı istifadəçinin formgrader-i IFrame daxilində yerləşdirən səhifə yaratmasına imkan verən mühafizə mexanizmini deaktiv edir. Əgər Bob həmin səhifəyə daxil olarsa, onun etibarnamələri göndəriləcək və formgrader səhifəsi yüklənəcəkdir. Alice-in səhifəsi formgrader iframe-i ilə eyni Mənşədə (Origin) olduğu üçün, Alice-in səhifəsindəki JavaScript kodu Bob-un etibarnamələri ilə təqdim olunan formgrader səhifəsinin məzmununa *tam giriş* əldə edir. Bu problem 0.9.5 versiyasında aradan qaldırılmışdır və bütün istifadəçilərə yeniləmə etmək tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər `frame-ancestors: self` parametrini deaktiv edə bilər və ya `JupyterHub.enable_subdomains = True` vasitəsilə hər istifadəçi və hər xidmət üçün alt domenləri aktivləşdirə bilərlər (belə olduqda, IFrame-də yerləşdirməyə icazə verilsə belə, ana səhifə çərçivənin məzmununa giriş əldə etmir).