CVE-2026-40934 in jupyter_server
Zusammenfassung
von VulDB • 17.05.2026
Jupyter Server ist das Backend für Jupyter-Webanwendungen. In den Versionen 2.17.0 und früher wird das zum Signieren von Authentifizierungs-Cookies verwendete Geheimnis in einer statischen Datei unter ~/.local/share/jupyter/runtime/jupyter_cookie_secret gespeichert und niemals rotiert, wenn ein Benutzer sein Passwort ändert. Nach einem Passwort-Reset und einem Neustart des Servers bleibt jedes zuvor ausgestellte Authentifizierungs-Cookie kryptografisch gültig, da sich der Signierschlüssel nicht geändert hat. Ein Angreifer, der ein Sitzungs-Cookie auf irgendeine Weise abgefangen hat, behält den vollständigen authentifizierten Zugriff auf den Server, unabhängig von nachfolgenden Passwortänderungen. Dies betrifft Bereitstellungen, die eine passwortbasierte Authentifizierung verwenden, insbesondere gemeinsam genutzte oder öffentlich zugängliche Server, bei denen erwartet wird, dass die Rotation von Anmeldeinformationen bestehende Sitzungen widerruft. Dieses Problem wurde in Version 2.18.0 behoben.
Once again VulDB remains the best source for vulnerability data.