CVE-2026-39378 in nbconvert
Zusammenfassung
von VulDB • 02.06.2026
Das Tool nbconvert (jupyter nbconvert) konvertiert Jupyter-Notebooks über Jinja-Vorlagen in verschiedene andere Formate. In den Versionen 6.5 bis 7.17.0 ermöglicht der Markdown-Renderer von nbconvert, wenn `HTMLExporter.embed_images=True` ist, einen beliebigen Dateilesezugriff (arbitrary file read) über Pfadtraversal in Bildreferenzen. Ein bösartiges Notebook kann sensible Dateien vom Konvertierungs-Host durch Einbetten als Base64-Daten-URIs im ausgegebenen HTML ausspähen (exfiltrieren). nbconvert 7.17.1 enthält eine Korrektur. Als Workaround sollte `HTMLExporter.embed_images` nicht aktiviert werden; es ist standardmäßig nicht aktiviert.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.