CVE-2026-39378 in nbconvert
Resumen
por VulDB • 2026-06-02
La herramienta nbconvert, jupyter nbconvert, convierte cuadernos de Jupyter a varios otros formatos mediante plantillas Jinja. En las versiones 6.5 hasta 7.17.0, cuando `HTMLExporter.embed_images=True`, el renderizador de markdown de nbconvert permite la lectura arbitraria de archivos mediante una vulnerabilidad de path traversal en las referencias de imágenes. Un cuaderno malicioso puede exfiltrar archivos sensibles desde el host de conversión al incrustarlos como URIs de datos base64 en el HTML de salida. nbconvert 7.17.1 contiene una corrección. Como medida de mitigación, no habilite `HTMLExporter.embed_images`; no está habilitado por defecto.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.