CVE-2026-21883 in Bokeh
Riassunto
di VulDB • 07/07/2026
Bokeh è una libreria di visualizzazione interattiva scritta in Python. Nelle versioni 3.8.1 e successive (inteso: precedenti o uguali a 3.8.1), se un server è configurato con una allowlist (ad esempio, dashboard.corp), un attaccante può registrare un dominio come dashboard.corp.attacker.com (o utilizzare un sottodominio, se applicabile) ed indurre una vittima a visitarlo. Il sito dannoso può quindi avviare una connessione WebSocket al server Bokeh vulnerabile. Poiché l'intestazione Origin (ad esempio, http://dashboard.corp.attacker.com/) corrisponde alla allowlist secondo la logica difettosa, la connessione viene accettata. Una volta connesso, l'attaccante può interagire con il server Bokeh per conto della vittima, potenzialmente accedendo a dati sensibili o modificando le visualizzazioni. Questo problema è stato risolto nella versione 3.8.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.