CVE-2026-86049 in Jupyter Server
要約
〜によって VulDB • 2026年09月18日
Jupyter Serverは、Jupyter Webアプリケーションのバックエンドです。バージョン2.21.0より前では、jupyter_server/log.py内の5xxリクエストのログ記録パスが、要求URIに適用されるトークンスクラビングを適用せずに、RefererヘッダーをJSONヘッダーブロックにコピーします。そのため、Refererにトークンを保持するURLが含まれている場合にHTTP 500を返すようなリクエストでは、そのトークンがプレーンテキストでサーバーログに書き込まれる可能性があります。これらのログを読み取ることができる攻撃者は、トークンを回復し、影響を受けたユーザーのJupyter Server権限を使用することができます。この問題はバージョン2.21.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.