JupyterLab vulnerable to SXSS in Markdown Preview
Impact
The vulnerability depends on user interaction by opening a malicious notebook with Markdown cells, or Markdown file using JupyterLab preview feature.
A malicious user can access any data that the attacked user has access to as well as perform arbitrary requests acting as the attacked user.
Patches
JupyterLab v4.0.11 was patched.
Workarounds
Users can either disable the table of contents extension by running:
jupyter labextension disable @jupyterlab/toc-extension:registryReferences
Vulnerability reported via the bug bounty program sponsored by the European Commission and hosted on the Intigriti platform.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | jupyterlab | >= 4.0.0, < 4.0.11 | 4.0.11 |
| Python (PyPI) | notebook | >= 7.0.0, < 7.0.7 | 7.0.7 |
Odnośniki
- https://github.com/jupyterlab/jupyterlab/security/advisories/GHSA-4m77-cmpx-vjc4
- https://nvd.nist.gov/vuln/detail/CVE-2024-22420
- https://github.com/jupyterlab/jupyterlab/commit/dda0033cd49449572d077bbecd33b18d8d05f48a
- https://github.com/jupyterlab/jupyterlab/commit/e1b3aabab603878e46add445a3114e838411d2df
- https://github.com/jupyterlab/jupyterlab
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UQJKNRDRFMKGVRIYNNN6CKMNJDNYWO2H
- https://pypi.org/project/notebook
- https://github.com/advisories/GHSA-4m77-cmpx-vjc4
- https://pypi.org/project/jupyterlab
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-79- Platforma
- Python (PyPI)
- Paczka
jupyterlab, notebook- Ujawniono
- 19.01.2024
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-1707 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - PYSEC-2026-2535 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-4m77-cmpx-vjc4 - CC BY 4.0
Historia podatności: jupyterlab
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 19
- Pierwsza → ostatnia
- 08.2021 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 1
- Wysoka 8
- Średnia 8
- Niska 2
Ujawnienia w latach
- 2021: 1
- 2022: 0
- 2023: 0
- 2024: 4
- 2025: 1
- 2026: 13
-
JupyterLab vulnerable to SXSS in Markdown Preview ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.