CVE-2026-21883 in Bokeh
要約
〜によって VulDB • 2026年07月06日
BokehはPythonで書かれたインタラクティブな可視化ライブラリです。バージョン3.8.1およびそれ以前のバージョンでは、サーバーが許可リスト（例：dashboard.corp）で構成されている場合、攻撃者は dashboard.corp.attacker.com などのドメインを登録し（該当する場合はサブドメインを使用）、被害者をそのサイトに誘導することができます。その後、悪意のあるサイトは脆弱なBokehサーバーに対してWebSocket接続を開始できます。Originヘッダー（例：http://dashboard.corp.attacker.com/）が欠陥のあるロジックにより許可リストと一致するため、接続が受け入れられます。一度接続されると、攻撃者は被害者に代わってBokehサーバーと対話することができ、機密データへのアクセスや可視化の変更が可能になります。この問題はバージョン3.8.2で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.