Zaloguj się
Deutsch English Español Polski
Średnia

JupyterLab: XSS due to lack of sanitization of the action attribute of an html <form>

  • Ujawniono: 09.08.2021
  • Aktualizacja: 11.10.2026 13:19

Impact

Untrusted notebook can execute code on load. This is a remote code execution, but requires user action to open a notebook.

Patches

Patched in the following versions: 3.1.4, 3.0.17, 2.3.2, 2.2.10, 1.2.21.

References

OWASP Page on Restricting Form Submissions

For more information

If you have any questions or comments about this advisory, or vulnerabilities to report, please email our security list security@ipython.org.

Credit: Guillaume Jeanne from Google

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) jupyterlab < 1.2.21, >= 2.0.0a0, < 2.2.10, >= 2.3.0a0, < 2.3.2, >= 3.0.0a0, < 3.0.17, >= 3.1.0a0, < 3.1.4 1.2.21, 2.2.10, 2.3.2, 3.0.17, 3.1.4
Python (PyPI) notebook < 5.7.11, >= 6.0.0, < 6.4.1 5.7.11, 6.4.1

Odnośniki

Ocena CVSS 7.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
Słabość (CWE)
CWE-75, CWE-79, CWE-87
Platforma
Python (PyPI)
Paczka
jupyterlab, notebook
Ujawniono
09.08.2021
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2021-130 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - PYSEC-2026-688 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-4952-p58q-6crx - CC BY 4.0

Historia podatności: jupyterlab

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (19) w archiwum
Wszystkich wpisów
19
Pierwsza → ostatnia
08.2021 10.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 1
  • Wysoka 8
  • Średnia 8
  • Niska 2

Ujawnienia w latach

Istotność:
  1. JupyterLab: Cross-site scripting (XSS) in JupyterLab via notebook cells pasted from the system clipboard
    Wysoka · 8.1 CVE-2026-102831 >= 4.5.0, < 4.5.11, >= 4.6.0, < 4.6.4 4.5.11, 4.6.4
  2. JupyterLab: Cross-site scripting (XSS) via crafted settings file (`overrides.json`)
    Wysoka CVE-2026-73417 >= 4.6.0, < 4.6.2, >= 3.3.0, < 4.5.10 4.6.2, 4.5.10
  3. JupyterLab: Image viewer allows XSS when opening malicious image in new browser tab
    Wysoka CVE-2026-73415 >= 4.6.0, < 4.6.2, < 4.5.10 4.6.2, 4.5.10
  4. JupyterLab's command linker attributes in HTML enable one-click command execution from untrusted content
    Wysoka · 9.6 CVE-2026-42557 < 4.5.7 4.5.7
  5. JupyterLab has an Extension Manager API/GUI Policy Discrepancy, allowing 3rd party (malicious) extensions install via POST request
    Wysoka · 8.8 CVE-2026-42266 >= 4.0.0, < 4.5.7 4.5.7
  6. Jupyter Notebook Vulnerable to Authentication Token Theft via CommandLinker XSS
    Wysoka CVE-2026-40171 < 4.5.7 4.5.7
  7. HTML injection in Jupyter Notebook and JupyterLab leading to DOM Clobbering
    Wysoka · 7.6 CVE-2024-43805 < 3.6.8, >= 4.0.0, < 4.2.5 3.6.8, 4.2.5
  8. JupyterLab extension template is a `copier` template for JupyterLab extensions. Repositories created using this template with `test` option include `update-integration-tests.yml` workflow which has a
    Krytyczna · 9.8 CVE-2024-39700 < 4.3.0 4.3.0
  9. JupyterLab vulnerable to potential authentication and CSRF tokens leak
    Wysoka · 7.6 CVE-2024-22421 >= 4.0.0, < 4.0.11, < 3.6.7 4.0.11, 3.6.7
  10. JupyterLab: XSS due to lack of sanitization of the action attribute of an html <form> ten wpis
    Średnia · 7.4 CVE-2021-32797 < 1.2.21, >= 2.0.0a0, < 2.2.10, >= 2.3.0a0, < 2.3.2, >= 3.0.0a0, < 3.0.17, >= 3.1.0a0, < 3.1.4 1.2.21, 2.2.10, 2.3.2, 3.0.17, 3.1.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.