CVE-2026-54528

WysokieCVSS 7.1

Opublikowano: 08/07/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

JupyterLab Git przed wersją 0.54.0 używa funkcji fnmatch.fnmatchcase() w metodzie GitHandler.prepare() do egzekwowania wykluczonych ścieżek. Uwierzytelniony użytkownik na systemie plików nie rozróżniającym wielkości liter może zmieniać wielkość liter w ścieżkach URL i odczytywać wykluczone katalogi.

Ocena ryzyka

Organizacja narażona jest na nieautoryzowany dostęp do poufnych danych przechowywanych w wykluczonych katalogach repozytorium Git, co może prowadzić do wycieku informacji.

Rekomendacja

Należy niezwłocznie zaktualizować JupyterLab Git do wersji 0.54.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.

Inne podatności w JupyterLab Git

CVE-2026-54527Krytyczne
Rozszerzenie JupyterLab Git do wersji 0.54.0 zawiera podatność na atak XSS (Cross-Site Scripting) w metodzie createHeader() pliku PlainTextDiff.ts. Podczas renderowania zmienionych nazw plików w historii commitów, nazwy plików są przekazywane bezpośrednio do innerHTML, co umożliwia wstrzyknięcie złośliwego kodu JavaScript poprzez spreparowaną nazwę pliku.

Oryginalny opis (angielski, źródło NVD)

JupyterLab Git is a Git extension for JupyterLab. Prior to 0.54.0, jupyterlab-git uses fnmatch.fnmatchcase() in GitHandler.prepare() in jupyterlab_git/handlers.py to enforce excluded_paths, allowing an authenticated user on a case-insensitive filesystem to vary URL path casing and read excluded directories. This issue is fixed in version 0.54.0.