CVE-2026-42557
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 — wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w JupyterLab przed wersją 4.5.7 pozwala na wykonanie dowolnych poleceń JupyterLab poprzez kliknięcie w spreparowany przycisk w komórce HTML. Mechanizm CommandLinker nasłuchuje zdarzeń kliknięcia na całym dokumencie i wykonuje polecenia bez weryfikacji źródła elementu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wykonania dowolnego kodu w kontekście ofiary, co prowadzi do przejęcia kontroli nad sesją JupyterLab i potencjalnie do kradzieży danych lub dalszego ataku na infrastrukturę.
Rekomendacja
Należy niezwłocznie zaktualizować JupyterLab do wersji 4.5.7 lub nowszej, która zawiera poprawkę usuwającą podatność.
Oryginalny opis (angielski, źródło NVD)
jupyterlab is an extensible environment for interactive and reproducible computing, based on the Jupyter Notebook Architecture. Prior to 4.5.7, JupyterLab's HTML sanitizer allowlists data-commandlinker-command and data-commandlinker-args on button elements, while CommandLinker listens for all click events on document.body and executes the named command without checking whether the element came from trusted JupyterLab UI. A notebook with a pre-saved HTML cell output containing a deceptive button can trigger arbitrary JupyterLab commands - including arbitrary code execution - on a single user click, without any code being submitted for execution by the user. This vulnerability is fixed in 4.5.7.