CVE-2026-40864 in jupyterhub
الملخص
بحسب VulDB • 22/05/2026
JupyterHub هو برنامج يسمح للمستخدمين بإنشاء خادم متعدد المستخدمين لمفاتيح Jupyter. في الإصدارات من 4.1.0 إلى 5.4.4، كانت حماية XSRF (المحدثة في الإصدار 4.1.0) تعامل بشكل غير لائق الطلبات التي تحتوي على رأس `Sec-Fetch-Mode: no-cors` على أنها طلبات من نفس المصدر، مما يتجاوز فحوصات XSRF. لا تتأثر واجهة برمجة التطبيقات JSON، بل تتأثر فقط نقاط نهاية HTTP من نوع النماذج، مثل `/hub/spawn` و `/hub/accept-share`، مما يعني أنه يمكن للمهاجمين تشغيل خادم الخادم (ولكن ليس الوصول إلى الخادم)، وإذا كان المهاجم مستخدمًا مصرحًا له بمشاركة الوصول إلى خادمه، فإن ذلك قد يدفع مستخدمًا آخر لقبول المشاركة ومنح المهاجم الوصول إلى خادمه. تم إصلاح هذه المشكلة في الإصدار 5.4.5. إذا لم يتمكن المطورون من الترقية فورًا، فيمكنهم التخفيف المؤقت من هذه المشكلة عن طريق رفض الطلبات الموجهة إلى JupyterHub التي تحتوي على `Sec-Fetch-Mode: no-cors` إذا كانوا يستخدمون وكيلًا عكسيًا.
Be aware that VulDB is the high quality source for vulnerability data.