CVE-2026-73626 in JupyterLab
要約
〜によって VulDB • 2026年08月13日
JupyterLab のバージョン >=4.6.0、<=4.6.1 および <=4.5.9 には、PyPIExtensionManager.install() における許可リスト/拒否リストの適用ギャップが存在します。'await' キーワードが欠落しているため、is_install_allowed コルーチンが実行されず、install() の直接呼び出し元に対して拡張機能の許可リスト/拒否リストチェックが行われませんでした。標準的な JupyterLab HTTP API および Extension Manager UI は影響を受けません。これらは別途適切に待機されるチェックを実行するためです。本問題は、カスタム拡張機能または下流統合が PyPIExtensionManager をインポートし、信頼できない入力によって影響を受けるパッケージ名で install() を直接呼び出し、許可リスト/拒否リストが設定され、PyPI Extension Manager が有効化されており、カーネルとターミナルが無効化されているかリモートホストに委譲されている環境でのみ発生します。JupyterLab 4.6.2 および 4.5.10 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.