CVE-2026-111059
ŚrednieCVSS 6.1Streszczenie
W frameworku Mercury od wersji 3.0.0 do 3.2.11 komponent mr.Markdown konwertuje kontrolowany przez atakującego Markdown na HTML bez sanityzacji surowego HTML przed przypisaniem do ipywidgets.HTML. Atrybuty obsługi zdarzeń i inny aktywny HTML mogą trafić do DOM i wykonać się, gdy inny użytkownik wyświetli aplikację.
Ocena ryzyka
Może to prowadzić do ataku XSS i wykonania dowolnego kodu JavaScript w przeglądarce ofiary.
Rekomendacja
Zaktualizuj Mercury do wersji 3.2.11 lub nowszej.
Inne podatności w Mercury
Zobacz wszystkie- CVE-2026-111058Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter jako aplikacji webowych. W wersjach przed 3.2.6 domyślne wdrożenia bez tokenów pozwalają anonimowym klientom tworzyć jądra Jupyter i wysyłać komunikaty execute_request z dowolnym kodem Pythona. Lista blokowanych endpointów nie obejmuje /api/kernels, a wrapper websocket nie autoryzował wykonywalnych komunikatów.
- CVE-2026-111057Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter. W wersjach od 3.0.0 do 3.2.4 brakujący przecinek w BLOCKED_PATTERNS łączy wyrażenia regularne /lab i /api/terminals, przez co żądania do /api/terminals omijają blokadę anonimowych endpointów i docierają do API terminala Jupyter Server. Nieuwierzytelniony atakujący może uzyskać interaktywną powłokę systemu operacyjnego i wykonywać polecenia.
Oryginalny opis (angielski, źródło NVD)
Mercury is a Python framework for sharing Jupyter notebooks as web applications and dashboards. From 3.0.0 until 3.2.11, mr.Markdown converts attacker-controlled Markdown to HTML without sanitizing raw HTML before assigning it to an ipywidgets.HTML sink. Event-handler attributes and other active HTML can therefore reach the DOM and execute when another user views the application. This issue is fixed in version 3.2.11.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS