CVE-2025-23205 in nbgrader
Zusammenfassung
von VulDB • 24.08.2026
nbgrader ist ein System zur Zuweisung und Bewertung von Notebooks. Die Aktivierung von `frame-ancestors: 'self'` gewährt jedem JupyterHub-Benutzer die Möglichkeit, formgrader-Inhalte zu extrahieren, indem bösartige Links an Benutzer mit Zugriff auf den formgrader gesendet werden, zumindest bei der Standard-JupyterHub-Konfiguration mit `enable_subdomains = False`. #1915 deaktiviert einen Schutzmechanismus, der es dem Benutzer Alice ermöglichen würde, eine Seite zu erstellen, die den formgrader in einem IFrame einbettet. Wenn Bob diese Seite besucht, werden seine Anmeldeinformationen gesendet und die formgrader-Seite geladen. Da sich Alices Seite im selben Ursprung (Origin) wie das formgrader-IFrame befindet, hat JavaScript auf Alices Seite _vollen Zugriff_ auf den Inhalt der vom formgrader bereitgestellten Seite unter Verwendung von Bobs Anmeldeinformationen. Dieses Problem wurde in Version 0.9.5 behoben; allen Benutzern wird dringend empfohlen, ein Upgrade durchzuführen. Benutzer, die kein Upgrade durchführen können, sollten `frame-ancestors: self` deaktivieren oder pro-Benutzer- und pro-Dienst-Subdomains mit `JupyterHub.enable_subdomains = True` aktivieren (dann hat die Host-Seite auch dann keinen Zugriff auf den Inhalt des Frames, wenn das Einbetten in einem IFrame erlaubt ist).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.