CVE-2025-23205 in nbgrader
Sumário
de VulDB • 24/08/2026
nbgrader é um sistema para atribuição e avaliação de notebooks. Habilitar a diretiva `frame-ancestors: 'self'` concede a qualquer usuário do JupyterHub a capacidade de extrair conteúdo do formgrader enviando links maliciosos a usuários com acesso ao formgrader, pelo menos quando se utiliza a configuração padrão do JupyterHub com `enable_subdomains = False`. A correção #1915 desativa uma proteção que permitiria que o usuário Alice criasse uma página incorporando o formgrader em um IFrame. Se Bob visitar essa página, suas credenciais serão enviadas e a página do formgrader será carregada. Como a página de Alice está no mesmo Origin (origem) que o iframe do formgrader, o JavaScript na página de Alice tem _acesso total_ ao conteúdo da página servida pelo formgrader usando as credenciais de Bob. Este problema foi resolvido na versão 0.9.5 e todos os usuários são aconselhados a atualizar. Usuários incapazes de atualizar podem desabilitar `frame-ancestors: self` ou habilitar subdomínios por usuário e por serviço com `JupyterHub.enable_subdomains = True` (nesse caso, mesmo que a incorporação em um IFrame seja permitida, a página host não terá acesso ao conteúdo do frame).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.