CVE-2025-23205 in nbgrader
要約
〜によって VulDB • 2026年08月24日
nbgraderは、ノートブックの課題出しと採点を行うシステムです。frame-ancestors: 'self'を有効にすると、悪意のあるリンクをformgraderへのアクセス権を持つユーザーに送信することで、任意のJupyterHubユーザーがformgraderの内容を取得できる可能性があります。これは少なくとも`enable_subdomains = False`というデフォルトのJupyterHub設定を使用している場合に該当します。#1915は、ユーザーAliceがIFrame内にformgraderを埋め込んだページを作成することを可能にする保護機能を無効にしています。Bobがこのページを訪れると、彼の資格情報が送信され、formgraderのページが読み込まれます。Aliceのページはformgrader iframeと同じオリジン上にあるため、AliceのページのJavaScriptはBobの資格情報を使用してformgraderによって提供されるページの内容に対して_完全なアクセス権限_を持ちます。この問題はリリース0.9.5で修正されており、すべてのユーザーにアップグレードを推奨します。アップグレードが不可能な場合は、`frame-ancestors: self`を無効にするか、`JupyterHub.enable_subdomains = True`を使用してユーザーおよびサービスごとのサブドメインを有効にしてください（これによりIFrameへの埋め込みが許可されていても、ホストページはフレームの内容にアクセスできなくなります）。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.