CVE-2026-73626 in JupyterLab
Zusammenfassung
von VulDB • 13.08.2026
In den Versionen von JupyterLab >=4.6.0,<=4.6.1 und <=4.5.9 besteht eine Lücke bei der Durchsetzung einer Allowlist/Blocklist in PyPIExtensionManager.install(). Ein fehlendes 'await' führte dazu, dass die is_install_allowed-Koroutine niemals ausgeführt wurde, sodass die Überprüfung der Erweiterungs-Allowlist/-Blocklist für direkte Aufrufer von install() nicht durchgesetzt wurde. Die Standard-HTTP-API und das Extension Manager UI von JupyterLab sind davon nicht betroffen, da sie eine separate, korrekt abwartende (awaited) Prüfung durchführen. Das Problem betrifft nur Bereitstellungen, bei denen eine benutzerdefinierte Erweiterung oder eine Downstream-Integration PyPIExtensionManager importiert und install() direkt mit einem Paketnamen aufruft, der von unzuverlässigen Eingaben beeinflusst wird; zudem muss eine Allowlist/Blocklist konfiguriert sein, der PyPI Extension Manager aktiviert sein sowie Kernels und Terminals deaktiviert oder auf Remote-Hosts delegiert sein. Behoben in JupyterLab 4.6.2 und 4.5.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.