CVE-2026-6658
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 — wyżej niż 3% wszystkich znanych CVE
Streszczenie
Podatność w jupyter/nbconvert w wersjach do 7.17.0 umożliwia atak typu Cross-site Scripting (XSS) przez niesanitowane dane wyjściowe `text/vnd.mermaid` w eksporcie HTML. Blok `data_mermaid` w szablonie `share/templates/lab/base.html.j2` renderuje zawartość komórki `text/vnd.mermaid` bezpośrednio do HTML bez odpowiedniego escapingu, co pozwala atakującemu na wstrzyknięcie dowolnego kodu HTML/JavaScript poprzez wyjście poza znacznik `<pre>`.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wykonania dowolnego kodu JavaScript w kontekście użytkowników przeglądających wyeksportowany plik HTML, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków na użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację jupyter/nbconvert do wersji nowszej niż 7.17.0, która zawiera poprawkę usuwającą podatność. Jeśli aktualizacja nie jest możliwa, należy unikać renderowania notatników z niezaufanymi danymi w formacie HTML.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in jupyter/nbconvert versions <= 7.17.0 allows for Cross-site Scripting (XSS) via unsanitized `text/vnd.mermaid` output in HTML exports. The `data_mermaid` block in `share/templates/lab/base.html.j2` renders `text/vnd.mermaid` cell output directly into HTML without escaping, enabling attackers to inject arbitrary HTML/JavaScript by breaking out of the `<pre>` tag. This vulnerability impacts any server using nbconvert to render notebooks as HTML, allowing attackers to execute arbitrary JavaScript in the context of users viewing the HTML export.