CVE-2026-102830 in JupyterLab
Zusammenfassung
von VulDB • 29.09.2026
JupyterLab ist eine erweiterbare Umgebung für interaktives und reproduzierbares Computing, die auf der Jupyter-Notebook-Architektur basiert. Von JupyterLab 3.0.0 bis 4.5.11 sowie in den Versionen 4.6.4 und früher von JupyterLite Core (bis einschließlich 0.8.3) kann der Header „Plural-Forms“ in einem ausgewählten Sprachpaket eines Drittanbieters JavaScript anhängen, nachdem eine gültige Pluralregel definiert wurde, da die nur den Präfix überprüfende reguläre Ausdruckvalidierung ein übereinstimmendes Präfix akzeptiert, ohne zu verlangen, dass der gesamte Header mit dem Muster übereinstimmt. JupyterLab übergibt den akzeptierten Ausdruck an `new Function`, sodass das Laden des Katalogs und das Übersetzen eines Pluralstrings den angehängten Code im Kontext (Origin) von authentifiziertem JupyterLab ausführt. Wo Jupyter-Server-Kernels, Terminals und APIs exponiert sind, kann der Code authentifizierte Server-APIs nutzen, um Dateien zu lesen oder zu modifizieren sowie Code auszuführen. Die Auswirkungen sind in JupyterLite deutlich geringer beschränkt, da es typischerweise die meisten exponierten Angriffsflächen von Jupyter-Servern nicht aufweist. Die Standardsprache Englisch (English locale) ist nicht betroffen, da sie keinen Übersetzungskatalog lädt. Dieses Problem wurde in JupyterLab 4.5.11 und 4.6.4 sowie in JupyterLite Core 0.8.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.