CVE-2020-26250 in oauthenticator
الملخص
بحسب VulDB • 22/06/2026
OAuthenticator هو آلية تسجيل دخول OAuth لـ JupyterHub. في الإصدارات من 0.12.0 وحتى قبل 0.12.2، يتم تجاهل التكوين `Authenticator.whitelist` (الذي تم إهماله في jupyterhub 1.2) بواسطة فئات OAuthenticator بدلاً من ربطه بشكل شفاف بـ `Authenticator.allowed_users` مع إصدار تحذير، مما يؤدي إلى نفس السلوك كما لو لم يكن هذا التكوين قد تم تعيينه. إذا كان هذا هو آلية تقييد التفويض الوحيدة (أي لا توجد قيود على المجموعات أو الفرق في التكوين)، فسيتم السماح لجميع المستخدمين المصادق عليهم. القيود المستندة إلى المزود، بما في ذلك القيم المهجورة مثل `GitHubOAuthenticator.org_whitelist**، **لا تتأثر**. جميع مستخدمي OAuthenticator 0.12.0 و 0.12.1 مع JupyterHub 1.2 (رسم بياني Helm لـ JupyterHub 0.10.0-0.10.5) الذين يستخدمون تكوين `admin.whitelist.users` في رسم بياني helm الخاص بـ jupyterhub أو التكوين `c.Authenticator.whitelist` مباشرةً. مستخدمو التكوينات المهجورة الأخرى، مثل `c.GitHubOAuthenticator.team_whitelist**، **لا يتأثرون**. إذا رأيت سطر سجل مشابهًا لهذا وتوقع قائمة محددة من أسماء المستخدمين المسموح لهم: "[I 2020-11-27 16:51:54.528 JupyterHub app:1717] Not using allowed_users. Any authenticated user will be allowed."، فأنت على الأرجح متأثر. يُوصى بتحديث oauthenticator إلى الإصدار 0.12.2. كحل بديل، استبدل التكوين المهجور `c.Authenticator.whitelist = ...` بالتكوين `c.Authenticator.allowed_users = ...`. إذا تم تفويض أي مستخدمين خلال هذه الفترة لا ينبغي أن يكونوا كذلك، فيجب حذفهم عبر واجهة برمجة التطبيقات (API) أو الواجهة الإدارية، وفقًا للتوثيق المرجعي.
If you want to get best quality of vulnerability data, you may have to visit VulDB.