CVE-2021-41134
Açıklama
nbdime, Jupyter Notebook'ların karşılaştırılması ve birleştirilmesi için araçlar sağlar. Etkilenen sürümlerde, Jupyter sahipliğindeki nbdime projesinde saklı bir siteler arası betik çalıştırma (XSS) sorunu bulunmaktadır. Dosya adı ve yolu diskten okunurken, uzantının oluşturduğu diziyi görüntülenmek üzere döndürmeden önce temizlemediği görülmektedir. nbdime içindeki diffNotebookCheckpoint fonksiyonu bu soruna neden olmaktadır. Yerel notebook adını görüntülemeye çalışırken (diffNotebookCheckpoint), nbdime giriş dosyasının adına sadece .ipynb eklemektedir. Ardından NbdimeWidget oluşturulur ve temel dize istek API fonksiyonuna iletilir. Buradan itibaren ön uç, HTML etiketini ve beraberindeki her şeyi olduğu gibi işler. Kullanıcıların etkilenen ürünün en güncel sürümüne yamalamaları önerilir.
Nasıl düzeltilir
- jupyter nbdime1.1.1, 2.1.1, 5.0.2, 6.1.2 ya da sonraki bir sürüm
- jupyter nbdime-jupyterlab1.0.1, 2.1.1 ya da sonraki bir sürüm
- nbdime1.1.1, 2.1.1, 3.1.1, 5.0.2, 6.1.2 ya da sonraki bir sürüm
- nbdime-jupyterlab1.0.1, 2.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jupyter nbdime | 1.0.0 ≤ v < 1.1.1, 2.0.0 ≤ v < 2.1.1, 3.0.0 ≤ v ≤ 3.1.1, 5.0.0 ≤ v < 5.0.2, 6.0.0 ≤ v < 6.1.2 | 1.1.1, 2.1.1, 5.0.2, 6.1.2 |
| jupyter nbdime-jupyterlab | 1.0.0 ≤ v < 1.0.1, 2.0.0 ≤ v < 2.1.1 | 1.0.1, 2.1.1 |
| nbdimePyPI | v < 1.1.1, 2.0.0 ≤ v < 2.1.1, 3.0.0 ≤ v < 3.1.1, v < 5.0.2, 6.0.0 ≤ v < 6.1.2 | 1.1.1, 2.1.1, 3.1.1, 5.0.2, 6.1.2 |
| nbdime-jupyterlabnpm | v < 1.0.1, 2.0.0 ≤ v < 2.1.1 | 1.0.1, 2.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.