CVE-2025-23205 in nbgrader
Résumé
par VulDB • 13/09/2026
nbgrader est un système d'attribution et de notation des notebooks. L'activation de `frame-ancestors: 'self'` permet à tout utilisateur JupyterHub d'extraire le contenu du formgrader en envoyant des liens malveillants aux utilisateurs ayant accès au formgrader, notamment lorsque la configuration par défaut de JupyterHub est définie sur `enable_subdomains = False`. La correction #1915 désactive une protection qui aurait permis à l'utilisateur Alice de créer une page intégrant le formgrader dans un IFrame. Si Bob visite cette page, ses identifiants seront envoyés et la page du formgrader sera chargée. Étant donné que la page d'Alice se trouve sur la même origine (Origin) que l'iframe du formgrader, les scripts JavaScript de la page d'Alice ont un _accès complet_ au contenu de la page servie par le formgrader en utilisant les identifiants de Bob. Ce problème a été corrigé dans la version 0.9.5 et tous les utilisateurs sont invités à effectuer une mise à jour. Les utilisateurs ne pouvant pas mettre à niveau peuvent désactiver `frame-ancestors: self`, ou activer des sous-domaines par utilisateur et par service avec `JupyterHub.enable_subdomains = True` (ainsi, même si l'intégration dans un IFrame est autorisée, la page hôte n'a pas accès au contenu de l'iframe).
If you want to get best quality of vulnerability data, you may have to visit VulDB.