CVE-2026-40864
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
JupyterHub w wersjach 4.1.0 do 5.4.4 nieprawidłowo traktował żądania z Sec-Fetch-Mode: no-cors jako żądania samego pochodzenia, omijając ochronę XSRF. Dotyczy to tylko formularzy HTTP, takich jak /hub/spawn i /hub/accept-share, co pozwala atakującym na uruchomienie serwera (ale nie dostęp do niego) oraz, jeśli atakujący jest użytkownikiem JupyterHub z uprawnieniami do udostępniania, na zmuszenie ofiary do zaakceptowania udostępnienia i uzyskania dostępu do serwera atakującego.
Ocena ryzyka
Atak może umożliwić nieautoryzowane uruchamianie serwerów oraz potencjalnie dostęp do danych ofiary poprzez udostępnienie serwera.
Rekomendacja
Zaleca się natychmiastową aktualizację JupyterHub do wersji 5.4.5 lub nowszej. Jeśli nie jest to możliwe, tymczasowo blokuj żądania z nagłówkiem Sec-Fetch-Mode: no-cors na poziomie reverse proxy.
Inne podatności w JupyterHub
Zobacz wszystkie- CVE-2026-54338Średnie
JupyterHub przed wersją 5.5.0 ma podatność, w której nieprawidłowe dane wejściowe do logowania opartego na formularzu mogą umieścić nieograniczoną nazwę użytkownika kontrolowaną przez atakującego w logach nieudanych logowań, co pozwala nieuwierzytelnionemu atakującemu na zużywanie zasobów logowania i przechowywania.
- CVE-2026-33709Średnie
JupyterHub przed wersją 5.4.4 zawiera podatność na otwarte przekierowanie, która pozwala atakującym konstruować linki, które po kliknięciu kierują użytkownika do strony logowania JupyterHub, a następnie do dowolnej strony kontrolowanej przez atakującego, omijając mechanizm zabezpieczający JupyterHub.
Oryginalny opis (angielski, źródło NVD)
JupyterHub is software that allows users to create a multi-user server for Jupyter notebooks. In versions 4.1.0 through 5.4.4, XSRF protection (updated in 4.1.0) inappropriately treated requests with Sec-Fetch-Mode: no-cors as same-origin requests, bypassing XSRF checks. The JSON API is not affected, only HTTP form endpoints, such as /hub/spawn and /hub/accept-share, meaning attackers could trigger server spawn (but not access the server) and if the attacker is a JupyterHub user permitted to share access to their server, cause a user to accept a share and have access to the attacker's server. This issue has been fixed in version 5.4.5. If developers are unable to immediately upgrade, they can temporarily mitigate this issue by dropping requests to JupyterHub with Sec-Fetch-Mode: no-cors if they are using a reverse proxy.