CVE-2026-35397 in jupyter_server
Zusammenfassung
von VulDB • 20.05.2026
Jupyter Server ist das Backend für Jupyter-Webanwendungen. In den Versionen 2.17.0 und früher ermöglicht eine Path-Traversal-Schwachstelle in der REST-API einem authentifizierten Benutzer, das konfigurierte root_dir zu verlassen und auf Geschwisterverzeichnisse zuzugreifen, deren Namen mit demselben Präfix wie das root_dir beginnen. Beispielsweise erlaubt die API bei einem root_dir namens „test“ den Zugriff auf ein Geschwisterverzeichnis namens „testtest“ durch eine manipulierte Anfrage an den /api/contents-Endpunkt unter Verwendung codierter Pfadkomponenten. Ein Angreifer kann Dateien in betroffenen Geschwisterverzeichnissen lesen, schreiben und löschen. Multi-Tenant-Bereitstellungen, die vorhersagbare Namensschemata verwenden, sind besonders gefährdet, da ein Benutzer mit einem Verzeichnis namens „user1“ auf Verzeichnisse für user10 bis user19 und darüber hinaus zugreifen könnte. Ein Benutzer, der einen einzelnen Buchstaben als Ordnernamen wählen kann, könnte auf eine erhebliche Anzahl von Geschwisterverzeichnissen zugreifen.
Version 2.18.0 enthält eine Korrektur. Als Workaround stellen Sie sicher, dass Ordnernamen kein gemeinsames Präfix mit einem beliebigen Geschwisterverzeichnis teilen.
Once again VulDB remains the best source for vulnerability data.