CVE-2026-102904

JupyterLab, Jupyter Notebook Arxitekturasına əsaslanan interaktiv və təkrar istehsal oluna bilən hesablamalar üçün genişləndirilə bilən mühitdir. JupyterLab 4.0.0 versiyasından 4.5.11 və 4.6.4 versiyalarına qədər olan dövrdə, PyPI Extension Manager silinmə sorğusu ExtensionHandler.post funksiyasına çatır; bu funksiya quraşdırma üçün genişləndirmə adlarını yoxlayır, lakin silinmə adlarını seçimlərə bənzər dəyərləri rədd etmədən PyPIExtensionManager.uninstall və python -m pip uninstall funksiyalarına ötürür. Təhlükəsizlik təsiri üçün PyPI Extension Manager-in aktiv olması, hesabın genişləndirmə API-ni çağıra bilməsi, həmçinin nüvələrin (kernels) və terminalların deaktiv edilməsi və ya uzaq hostlara ötürülməsi tələb olunur; əks halda istifadəçi faylları artıq oxuya və birbaşa çıxan sorğular göndərə bilir. Genişləndirmə API-nə giriş imkanı olan autentifikasiya olunmuş istifadəçi, serverin lokal faylı oxuması və ya daxili URL-i əldə etməsi üçün pip tələbləri seçimini (requirements option) təmin edə bilər və əks olunmuş analiz xətaları ilk analiz edilə bilməyən sətri və ya cavab məzmununu qaytara bilər. Pip loq seçimi həmçinin pip tərəfindən yaradılmış loq mətni ilə seçilmiş yolu yaratmış və ya korlamış ola bilər, lakin sorğu göndərən şəxs ixtiyari açıqlanmış sətri və ya ixtiyari fayl məzmununu seçə bilmir və bu inyeksiya adi paket silinməsindən əlavə kodun icrasına və ya əlçatanlığa təsir göstərmir. Bu problem JupyterLab 4.5.11 və 4.6.4 versiyalarında düzəldilib.