CVE-2026-21883 in Bokeh
요약
\~에 의해 VulDB • 2026. 09. 06.
Bokeh는 Python으로 작성된 대화형 시각화 라이브러리입니다. 버전 3.8.1 및 그 이전 버전에서는 서버가 허용 목록(예: dashboard.corp)으로 구성된 경우, 공격자가 dashboard.corp.attacker.com과 같은 도메인을 등록하거나(해당되는 경우 하위 도메인 사용), 피해자를 해당 사이트로 유인할 수 있습니다. 악성 사이트는 이후 취약한 Bokeh 서버에 WebSocket 연결을 시작할 수 있습니다. Origin 헤더(http://dashboard.corp.attacker.com/ 등)가 결함이 있는 논리에 따라 허용 목록과 일치하므로, 연결이 수락됩니다. 일단 연결되면 공격자는 피해자를 대신하여 Bokeh 서버와 상호작용할 수 있으며, 이는 민감한 데이터에 접근하거나 시각화를 수정하는 결과를 초래할 수 있습니다. 이 문제는 버전 3.8.2에서 해결되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.