CVE-2026-6657
Təsvir
jupyter-server versiyaları 1.12.0 ilə 2.17.0 arasında olan boşluq, `allow_origin_pat` konfiqurasiyasından istifadə edildikdə hücumçuya CORS mənşə yoxlamasını (origin validation) yan keçməyə imkan verir. Problem, `Origin` başlığını yoxlamaq üçün yalnız sətirin əvvəlini sabitləyən `re.match()` funksiyasının istifadəsindən qaynaqlanır. Bu, `trusted.example.com`-a uyğun gəlməsi nəzərdə tutulan şablonlara qarşı `trusted.example.com.evil.com` kimi hücumçunun nəzarətində olan domenlərin yoxlamadan keçməsinə şərait yaradır. Boşluq kod bazasının bir çox hissəsinə, o cümlədən CORS başlıqlarına, WebSocket bağlantılarına, referer yoxlamasına və giriş yönləndirmələrinə təsir edir ki, bu da potensial olaraq fişinq hücumlarına, uzaqdan kodun icrasına və həssas API cavablarına icazəsiz girişə yol aça bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jupyter jupyter_server | 1.12.0 ≤ v ≤ 2.17.0 | — |
| jupyter-serverPyPI | 1.12.0 ≤ v ≤ 2.17.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.