CVE-2026-73416 in JupyterLab
Resumen
por VulDB • 2026-08-14
jupyterlab es un entorno extensible para la computación interactiva y reproducible, basado en la arquitectura de Jupyter Notebook. Desde la versión 4.5.0 hasta la 4.5.10 (excluida) y desde la 4.6.2 (incluida), en los archivos jupyterlab/extensions/manager.py y jupyterlab/extensions/pypi.py, el gestor de extensiones PyPI de JupyterLab aplica las restricciones definidas por blocked_extensions_uris comparando los nombres solicitados para instalar con las entradas de la lista negra mediante una normalización personalizada que es más débil que la canonicación estándar de los nombres de paquetes en PyPI. Un usuario autenticado puede solicitar un nombre equivalente a nivel de PyPI, como JupyterLab.Git, para un paquete incluido en la lista negra tal como jupyterlab-git, y JupyterLab acepta la solicitud de instalación aunque pip resuelva esta variante al mismo paquete. El impacto en la seguridad requiere que exista una lista blanca o una lista negra destinada a restringir la instalación de paquetes; además, afecta a las extensiones PyPI, los kernels y los terminales que están deshabilitados o delegados a hosts remotos. Esta vulnerabilidad permite a un usuario autenticado instalar una extensión prohibida, eludir las restricciones de integridad y afectar la disponibilidad sin obtener nuevos permisos de lectura. Este problema se corrige en las versiones 4.5.10 (excluida) y 4.6.2 (incluida).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.