CVE-2026-39378
Açıklama
nbconvert aracı olan jupyter nbconvert, Jupyter notebooklarını Jinja şablonları aracılığıyla çeşitli diğer formatlara dönüştürür. 6.5 ile 7.17.0 arasındaki sürümlerde, `HTMLExporter.embed_images=True` olduğunda, nbconvert'in markdown oluşturucusu, görüntü referanslarındaki yol aşımı (path traversal) yoluyla rastgele dosya okunmasına izin verir. Kötü niyetli bir notebook, hassas dosyaları çıktı HTML'ine base64 veri URI'leri olarak gömerek dönüştürme sunucusundan sızdırabilir. nbconvert 7.17.1 sürümü bir düzeltme içerir. Geçici çözüm olarak `HTMLExporter.embed_images` özelliğini etkinleştirmeyin; bu özellik varsayılan olarak etkin değildir.
Nasıl düzeltilir
- jupyter nbconvert7.17.1 ya da sonraki bir sürüm
- nbconvert7.17.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jupyter nbconvert | 6.5.0 ≤ v < 7.17.1 | 7.17.1 |
| nbconvertPyPI | 6.5.0 ≤ v < 7.17.1 | 7.17.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.