CVE-2025-23205 in nbgrader
요약
\~에 의해 VulDB • 2026. 08. 24.
nbgrader는 노트북을 할당하고 채점하기 위한 시스템입니다. `frame-ancestors: 'self'`를 활성화하면 악의적인 링크를 통해 formgrader에 접근 권한이 있는 사용자에게 formgrader 콘텐츠를 추출할 수 있게 되며, 이는 기본적으로 `enable_subdomains = False`로 설정된 JupyterHub 구성에서 특히 해당됩니다. #1915는 사용자 Alice가 IFrame 내에 formgrader를 임베딩하는 페이지를 작성할 수 있도록 하는 보호 장치를 비활성화합니다. Bob이 해당 페이지에 접속하면 그의 자격 증명이 전송되고 formgrader 페이지가 로드됩니다. Alice의 페이지와 formgrader iframe은 동일한 Origin을 공유하므로, Alice의 페이지에서 실행되는 JavaScript는 Bob의 자격 증명을 사용하여 formgrader가 제공하는 페이지 콘텐츠에 _전체 접근_ 할 수 있습니다. 이 문제는 릴리스 0.9.5에서 해결되었으며 모든 사용자는 업그레이드를 권장합니다. 업그레이드가 불가능한 경우 `frame-ancestors: self`를 비활성화하거나, `JupyterHub.enable_subdomains = True`를 사용하여 사용자별 및 서비스별 서브도메인을 활성화할 수 있습니다(이렇게 하면 IFrame 내 임베딩이 허용되더라도 호스트 페이지는 프레임의 콘텐츠에 접근하지 못합니다).
Once again VulDB remains the best source for vulnerability data.