CVE-2026-102904
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
JupyterLab to rozszerzalne środowisko do interaktywnych i odtwarzalnych obliczeń, oparte na architekturze Jupyter Notebook. Od JupyterLab 4.0.0 do 4.5.11 i 4.6.4 żądanie dezinstalacji PyPI Extension Manager dociera do pliku ExtensionHandler.post, który sprawdza poprawność nazw rozszerzeń do instalacji, ale przekazuje nazwy dezinstalacji do PyPIExtensionManager.uninstall i python -m pip dezinstalacji bez odrzucania wartości podobnych do opcji. Ze względu na bezpieczeństwo wymagane jest włączenie Menedżera rozszerzeń PyPI, konto może wywoływać interfejs API rozszerzenia, a jądra i terminale są wyłączone lub delegowane do zdalnych hostów; w przeciwnym razie użytkownik może już czytać pliki i bezpośrednio wysyłać żądania wychodzące. Uwierzytelniony użytkownik z dostępem do interfejsu API rozszerzenia może podać opcję wymagań pip, aby serwer odczytał lokalny plik lub pobrał wewnętrzny adres URL, a odzwierciedlone błędy analizy mogą zwrócić pierwszą nieprzeanalizowaną linię lub treść odpowiedzi. Opcja dziennika pip może również utworzyć lub uszkodzić wybraną ścieżkę za pomocą tekstu dziennika wygenerowanego przez pip, ale osoba żądająca nie może wybrać dowolnej ujawnionej linii ani dowolnej zawartości pliku, a wstrzyknięcie nie dodaje wpływu na wykonanie kodu ani dostępność poza zwykłym usunięciem pakietu. Ten problem został rozwiązany w JupyterLab 4.5.11 i 4.6.4.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/jupyterlab/jupyterlab/commit/a274a8276b9185d03efd4c3c20713d3137ac49e6
- https://github.com/jupyterlab/jupyterlab/commit/e277bc958e737130ac47b6c5078d08b29298828f
- https://github.com/jupyterlab/jupyterlab/releases/tag/v4.5.11
- https://github.com/jupyterlab/jupyterlab/releases/tag/v4.6.4
- https://github.com/jupyterlab/jupyterlab/security/advisories/GHSA-3325-v43h-43rv
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org