جزئیات آسیب‌پذیری
CVE-2026-42266
Red Hat OpenShift AIjupyterlab jupyterlab
JupyterLab has an Extension Manager API/GUI Policy Discrepancy allowing 3rd party (malicious) extensions install via POST request.
CVSS 3.1
8.8بالا
شرح رسمی (انگلیسی)
JupyterLab is an extensible environment for interactive and reproducible computing, based on the Jupyter Notebook Architecture. From 4.0.0 to 4.5.6, the allow-list of extensions that can be installed from PyPI Extension Manager (allowed_extensions_uris) is not correctly enforced by JupyterLab. The PyPI Extension Manager was not contained to packages listed on the default PyPI index. This vulnerability is fixed in 4.5.7.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (redhat-SADP) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| Red Hat | Red Hat OpenShift AI (RHOAI) | همه | CVEProject cvelistV5 (CNA) |
| jupyterlab | jupyterlab | >= 4.0.0, < 4.5.7 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۹- https://github.com/jupyterlab/jupyterlab/security/advisories/GHSA-37w4-hwhx-4rc4 x_refsource_CONFIRM
- https://github.com/jupyterlab/jupyterlab/releases/tag/v4.5.7 x_refsource_MISC
- https://jupyterhub.readthedocs.io/en/5.2.1/explanation/websecurity.html x_refsource_MISC
- https://jupyterlab.readthedocs.io/en/latest/user/extensions.html#extension-manager-implementations x_refsource_MISC
- https://access.redhat.com/security/cve/CVE-2026-42266 vdb-entryx_refsource_REDHAT
- https://bugzilla.redhat.com/show_bug.cgi?id=2477072 issue-trackingx_refsource_REDHAT
- https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-42266.json x_sadp-csaf-vex
- https://access.redhat.com/errata/RHSA-2026:43038 vendor-advisoryx_refsource_REDHAT
- https://access.redhat.com/errata/RHSA-2026:60520 vendor-advisoryx_refsource_REDHAT
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۲/۲۳
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۰۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۵٫۶۵٪
احتمال بهره‌برداری در ۳۰ روز
۹۲٫۹٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-602Client-Side Enforcement of Server-Side Security
- CWE-88Improper Neutralization of Argument Delimiters in a Command ('Argument Injection')