CVE-2026-73626
Açıklama
JupyterLab sürümleri >=4.6.0,<=4.6.1 ve <=4.5.9, PyPIExtensionManager.install() içinde izin listesi/engel listesi uygulamasında bir boşluk içerir. Eksik bir 'await', is_install_allowed coroutine'inin hiç çalışmamasına neden oldu, bu yüzden install() doğrudan çağıranlar için uzantı izin listesi/engel listesi kontrolü uygulanmadı. Stok JupyterLab HTTP API'si ve Extension Manager kullanıcı arayüzü etkilenmez, çünkü bunlar ayrı, doğru şekilde await edilen bir kontrol gerçekleştirir. Sorun yalnızca özel bir uzantının veya alt akış entegrasyonunun PyPIExtensionManager'ı içe aktardığı ve güvenilmeyen girdiden etkilenen bir paket adıyla install()'ı doğrudan çağırdığı, bir izin listesi/engel listesinin yapılandırıldığı, PyPI Extension Manager'ın etkinleştirildiği ve çekirdekler ile terminallerin devre dışı bırakıldığı veya uzak ana bilgisayarlara devredildiği dağıtımları etkiler. JupyterLab 4.6.2 ve 4.5.10'da düzeltildi.
Nasıl düzeltilir
- jupyterlab4.6.2, 4.5.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jupyterlabPyPI | 4.6.0 ≤ v < 4.6.2, v < 4.5.10 | 4.6.2, 4.5.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.