CVE-2026-44727
Açıklama
Jupyter Server, Jupyter web uygulamaları için arka uçtur. 2.20 sürümünden önce, jupyter_server içindeki nbconvert HTTP işleyicileri, kullanıcı tarafından oluşturulan notebook HTML içeriğini, Content-Security-Policy'lerinde bir sandbox direktifi olmadan Jupyter kökeni altında işlemektedir. nbconvert.HTMLExporter'ın varsayılan olarak temizleme yapmayan davranımıyla birleştiğinde, display_data çıktısında HTML yükü taşıyan bir notebook; çerez erişimi, tam /api/* yetkisi ve kernel RCE ile sonuçlanan saklı XSS tetikler. Bu güvenlik açığı 2.20 sürümünde giderilmiştir.
Nasıl düzeltilir
- jupyter jupyter_server2.20.0 ya da sonraki bir sürüm
- jupyter-server2.20.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jupyter jupyter_server | v < 2.20.0 | 2.20.0 |
| jupyter-serverPyPI | v < 2.20.0 | 2.20.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.