Podatności JupyterHub
3 znanych podatności CVE w JupyterHub, przetłumaczonych i ocenionych.
- CVE-2026-54338Średnie
JupyterHub przed wersją 5.5.0 ma podatność, w której nieprawidłowe dane wejściowe do logowania opartego na formularzu mogą umieścić nieograniczoną nazwę użytkownika kontrolowaną przez atakującego w logach nieudanych logowań, co pozwala nieuwierzytelnionemu atakującemu na zużywanie zasobów logowania i przechowywania.
- CVE-2026-40864Średnie
JupyterHub w wersjach 4.1.0 do 5.4.4 nieprawidłowo traktował żądania z Sec-Fetch-Mode: no-cors jako żądania samego pochodzenia, omijając ochronę XSRF. Dotyczy to tylko formularzy HTTP, takich jak /hub/spawn i /hub/accept-share, co pozwala atakującym na uruchomienie serwera (ale nie dostęp do niego) oraz, jeśli atakujący jest użytkownikiem JupyterHub z uprawnieniami do udostępniania, na zmuszenie ofiary do zaakceptowania udostępnienia i uzyskania dostępu do serwera atakującego.
- CVE-2026-33709Średnie
JupyterHub przed wersją 5.4.4 zawiera podatność na otwarte przekierowanie, która pozwala atakującym konstruować linki, które po kliknięciu kierują użytkownika do strony logowania JupyterHub, a następnie do dowolnej strony kontrolowanej przez atakującego, omijając mechanizm zabezpieczający JupyterHub.