CVE-2023-40170
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W jupyter-server występuje problem z niewłaściwymi kontrolami poświadczeń między witrynami na adresach URL `/files/`, co może prowadzić do ujawnienia zawartości niektórych plików lub dostępu do plików podczas otwierania niezaufanych plików. Problem został rozwiązany w wersji `2.7.2`.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do poufnych danych, co może prowadzić do poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację do wersji `2.7.2`. Użytkownicy, którzy nie mogą zaktualizować, powinni użyć opcji `--ContentsManager.files_handler_class=jupyter_server.files.handlers.FilesHandler` dla poprawnych kontroli.
Oryginalny opis (angielski, źródło NVD)
jupyter-server is the backend for Jupyter web applications. Improper cross-site credential checks on `/files/` URLs could allow exposure of certain file contents, or accessing files when opening untrusted files via "Open image in new tab". This issue has been addressed in commit `87a49272728` which has been included in release `2.7.2`. Users are advised to upgrade. Users unable to upgrade may use the lower performance `--ContentsManager.files_handler_class=jupyter_server.files.handlers.FilesHandler`, which implements the correct checks.