CVE-2026-33587
KrytyczneStreszczenie
Brak sanitizacji danych wejściowych użytkownika w Open Notebook v1.8.3 umożliwia wykonanie kodu Pythona (a następnie poleceń systemowych) w kontenerze docker poprzez wstrzyknięcie szablonu po stronie serwera (SSTI) dla transformacji tworzonych przez użytkownika.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do nieautoryzowanego dostępu do systemu oraz wykonania dowolnych poleceń w kontenerze, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych.
Rekomendacja
Zaleca się wdrożenie odpowiednich mechanizmów sanitizacji danych wejściowych oraz aktualizację do najnowszej wersji Open Notebook, aby zminimalizować ryzyko związane z tą podatnością.
Inne podatności w Open Notebook v1.8.3
Zobacz wszystkie- CVE-2026-33588Wysokie
Brak walidacji danych wejściowych użytkownika w funkcjonalności przesyłania plików w Open Notebook v1.8.3 umożliwia użytkownikowi aplikacji tworzenie lub modyfikowanie plików w kontenerze docker poprzez atak typu path traversal.
- CVE-2026-28201Wysokie
Wersja 1.8.1 Open Notebook zawiera niewłaściwą walidację danych wejściowych oraz zbyt liberalną domyślną konfigurację CORS, co umożliwia zdalnemu atakującemu oszukanie legalnego użytkownika w celu zmiany lub usunięcia dowolnych wpisów w bazie danych za pomocą specjalnie przygotowanego złośliwego URL.
- CVE-2026-90769Wysokie
Open Notebook przed wersją 1.11.0 nie waliduje parametru URL w endpoincie POST /api/sources, co pozwala uwierzytelnionym użytkownikom na wykonywanie żądań po stronie serwera do usług wewnętrznych. Atakujący może podać dowolne adresy URL, aby odczytać metadane chmury, usługi sieci wewnętrznej oraz usługi powiązane z localhost poprzez bezpośrednie żądania HTTP serwera aplikacji.
Oryginalny opis (angielski, źródło NVD)
Lack of user input sanitisation in Open Notebook v1.8.3 allows the application user to execute Python code (and subsequently OS commands) on the docker container via Server-Side Template Injection (SSTI) for user-created transformations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS