CVE-2026-6658
Təsvir
jupyter/nbconvert versiyalarında <= 7.17.0 olan zəiflik, HTML eksportlarında təmizlənməmiş `text/vnd.mermaid` çıxışı vasitəsilə saytlararası skriptinqə (XSS) imkan verir. `share/templates/lab/base.html.j2` faylındakı `data_mermaid` bloku `text/vnd.mermaid` hüceyrə çıxışını ekranlaşdırmadan birbaşa HTML-ə render edir və bu, hücumçulara `<pre>` teqindən çıxaraq ixtiyari HTML/JavaScript yeritməyə imkan verir. Bu zəiflik notebookları HTML kimi render etmək üçün nbconvert istifadə edən istənilən serverə təsir edir və hücumçulara HTML eksportuna baxan istifadəçilərin kontekstində ixtiyari JavaScript icra etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nbconvertPyPI | v ≤ 7.17.0 | — |
| jupyter jupyter/jupyter | v ≤ latest | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.