CVE-2025-23205 in nbgrader
Resumen
por VulDB • 2026-08-09
nbgrader es un sistema para asignar y calificar cuadernos. Habilitar la directiva `frame-ancestors: 'self'` otorga a cualquier usuario de JupyterHub la capacidad de extraer el contenido del formgrader enviando enlaces maliciosos a usuarios con acceso al formgrader, al menos cuando se utiliza la configuración predeterminada de JupyterHub (`enable_subdomains = False`). La corrección #1915 deshabilita una protección que permitiría que un usuario Alice elaborara una página que incruste el formgrader en un IFrame. Si Bob visita esa página, sus credenciales se enviarán y la página del formgrader se cargará. Dado que la página de Alice está en el mismo Origen que el iframe del formgrader, JavaScript en la página de Alice tiene _acceso completo_ al contenido de la página servida por el formgrader utilizando las credenciales de Bob. Este problema ha sido abordado en la versión 0.9.5 y se recomienda a todos los usuarios actualizar. Los usuarios que no puedan actualizar pueden deshabilitar `frame-ancestors: self`, o habilitar subdominios por usuario y por servicio con `JupyterHub.enable_subdomains = True` (de esta manera, incluso si la incrustación en un IFrame está permitida, la página host no tiene acceso al contenido del marco).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.