CVE-2026-102904

JupyterLab, Jupyter Notebook Mimarisi tabanlı, etkileşimli ve yeniden üretilebilir hesaplama için genişletilebilir bir ortamdır. JupyterLab 4.0.0 ile 4.5.11 ve 4.6.4 arasındaki sürümlerde, PyPI Extension Manager kaldırma isteği ExtensionHandler.post'a ulaşır; bu işlem kurulumlar için eklenti isimlerini doğrular ancak kaldırma isimlerini, seçenek benzeri değerleri reddetmeden PyPIExtensionManager.uninstall ve python -m pip uninstall komutlarına iletir. Güvenlik etkisi için PyPI Extension Manager'ın etkin olması, hesabın eklenti API'sini çağırabilmesi ve çekirdeklerin (kernels) ile terminallerin devre dışı bırakılmış veya uzak ana bilgisayarlara devredilmiş olması gerekir; aksi takdirde kullanıcı zaten dosyaları okuyabilir ve doğrudan dış istekler yapabilir. Eklenti API erişimine sahip kimliği doğrulanmış bir kullanıcı, sunucunun yerel bir dosyayı okumasını veya dahili bir URL'yi getirmesini sağlamak için bir pip gereksinim seçeneği sunabilir ve yansıtılan ayrıştırma hataları, ayrıştırılamayan ilk satırı veya yanıt içeriğini döndürebilir. Bir pip günlük (log) seçeneği ayrıca pip tarafından oluşturulan günlük metniyle seçilen bir yolu oluşturabilir veya bozabilir, ancak istek yapan kişi rastgele bir ifşa edilmiş satırı veya rastgele dosya içeriğini seçemez ve bu enjeksiyon, standart paket kaldırmanın ötesinde bir kod çalıştırma veya kullanılabilirlik etkisi eklemez. Bu sorun JupyterLab 4.5.11 ve 4.6.4 sürümlerinde düzeltilmiştir.