CVE-2026-28201
WysokieStreszczenie
Wersja 1.8.1 Open Notebook zawiera niewłaściwą walidację danych wejściowych oraz zbyt liberalną domyślną konfigurację CORS, co umożliwia zdalnemu atakującemu oszukanie legalnego użytkownika w celu zmiany lub usunięcia dowolnych wpisów w bazie danych za pomocą specjalnie przygotowanego złośliwego URL.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do modyfikacji danych w bazie, co może prowadzić do utraty integralności danych oraz potencjalnego wycieku informacji, w zależności od wdrożenia.
Rekomendacja
Zaleca się przegląd i poprawę walidacji danych wejściowych oraz dostosowanie konfiguracji CORS, aby ograniczyć ryzyko ataków.
Inne podatności w Open Notebook v1.8.1
Zobacz wszystkie- CVE-2026-33588Wysokie
Brak walidacji danych wejściowych użytkownika w funkcjonalności przesyłania plików w Open Notebook v1.8.3 umożliwia użytkownikowi aplikacji tworzenie lub modyfikowanie plików w kontenerze docker poprzez atak typu path traversal.
- CVE-2026-33587Krytyczne
Brak sanitizacji danych wejściowych użytkownika w Open Notebook v1.8.3 umożliwia wykonanie kodu Pythona (a następnie poleceń systemowych) w kontenerze docker poprzez wstrzyknięcie szablonu po stronie serwera (SSTI) dla transformacji tworzonych przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
An improper input validation, together with an overly permissive default CORS configuration in Open Notebook v1.8.1 allows remote attacker to trick a legitimate user to alter or delete arbitrary database entries via specially crafted malicious URL. Depending on the deployment, data exfiltration is also possible.