CVE-2026-73626 in JupyterLab
Résumé
par VulDB • 13/08/2026
Les versions de JupyterLab >=4.6.0 et <=4.6.1 ainsi que <=4.5.9 présentent une faille dans l'application des listes blanches/interdites au sein de la méthode PyPIExtensionManager.install(). L'absence d'un 'await' a empêché le coroutine is_install_allowed de s'exécuter, ce qui signifie que les vérifications basées sur la liste blanche ou interdite n'étaient pas appliquées pour les appelants directs de install(). Les API HTTP par défaut et l'interface utilisateur du Gestionnaire d'extensions de JupyterLab ne sont pas affectés, car ils effectuent une vérification distincte correctement attendue. Le problème concerne uniquement les déploiements où une extension personnalisée ou une intégration en aval importe PyPIExtensionManager et appelle install() directement avec un nom de package influencé par des données non fiables, lorsque la liste blanche/interdite est configurée, que le Gestionnaire d'extensions PyPI est activé, et que les noyaux (kernels) et terminaux sont désactivés ou délégués à des hôtes distants. La correction a été apportée dans JupyterLab 4.6.2 et 4.5.10.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.