CVE-2026-102830
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
JupyterLab to rozszerzalne środowisko do interaktywnych i odtwarzalnych obliczeń, oparte na architekturze Jupyter Notebook. Od wersji JupyterLab 3.0.0 do 4.5.11 i 4.6.4 oraz w wersji JupyterLite Core 0.8.3 i wcześniejszych nagłówek Plural-Forms w wybranym pakiecie językowym innej firmy może dołączać JavaScript po prawidłowej regule liczby mnogiej, ponieważ sprawdzanie poprawności wyrażeń regularnych obejmujących tylko przedrostek akceptuje pasujący przedrostek bez konieczności dopasowania całego nagłówka. JupyterLab przekazuje zaakceptowane wyrażenie do nowej funkcji, więc ładowanie katalogu i tłumaczenie ciągu w liczbie mnogiej powoduje wykonanie dołączonego kodu w uwierzytelnionym źródle JupyterLab. Tam, gdzie ujawnione są jądra, terminale i interfejsy API serwera Jupyter, kod może używać uwierzytelnionych interfejsów API serwera do odczytywania lub modyfikowania plików i uruchamiania kodu. Wpływ jest znacznie bardziej ograniczony w JupyterLite, ponieważ zazwyczaj brakuje mu najbardziej odsłoniętych powierzchni serwera Jupyter. Domyślne angielskie ustawienia regionalne pozostają niezmienione, ponieważ nie ładują katalogu tłumaczeń. Ten problem został rozwiązany w JupyterLab 4.5.11 i 4.6.4 oraz JupyterLite Core 0.8.4.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/jupyterlab/jupyterlab/commit/985a3223cd77fd4f991cd90066342a90711d70f6
- https://github.com/jupyterlab/jupyterlab/commit/de324ae91346c713c4f5e5485f97b6e914e0f774
- https://github.com/jupyterlab/jupyterlab/commit/f9de43dc565a1118120d466117f877a189a4ce90
- https://github.com/jupyterlab/jupyterlab/releases/tag/v4.5.11
- https://github.com/jupyterlab/jupyterlab/releases/tag/v4.6.4
- https://github.com/jupyterlab/jupyterlab/security/advisories/GHSA-3jqq-pw4j-pqcj
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org