CVE-2026-73626

JupyterLab versiyaları >=4.6.0,<=4.6.1 və <=4.5.9 PyPIExtensionManager.install() funksiyasında ağ siyahı/qara siyahı tətbiqi boşluğu ehtiva edir. Çatışmayan 'await' operatoru is_install_allowed korutinini heç vaxt icra olunmamasına səbəb olmuşdur, buna görə də install() funksiyasının birbaşa çağırıcıları üçün genişlənmənin ağ siyahı/qara siyahı yoxlaması tətbiq edilməmişdir. Standart JupyterLab HTTP API və Extension Manager UI-na təsir etmir, çünki onlar ayrıca və düzgün şəkildə gözlənilən (awaited) yoxlama həyata keçirirlər. Problem yalnız fərdiləşdirilmiş genişlənmənin və ya aşağı axın inteqrasiyasının PyPIExtensionManager-i idxal etdiyi və etibarsız giriş tərəfindən təsir göstərilən paket adı ilə install()-i birbaşa çağırdığı, ağ siyahı/qara siyahının konfiqurasiya edildiyi, PyPI Extension Manager-in aktiv olduğu, nüvələrin (kernels) və terminalların deaktiv edildiyi və ya uzaq hostlara ötürüldüyü tətbiqlərə təsir edir. JupyterLab 4.6.2 və 4.5.10 versiyalarında düzəldilib.