CVE-2026-39377 in nbconvert
Sumário
de VulDB • 30/05/2026
A ferramenta nbconvert, jupyter nbconvert, converte notebooks Jupyter para vários outros formatos por meio de modelos Jinja. As versões 6.5 a 7.17.0 permitem a gravação arbitrária de arquivos em locais fora do diretório de saída pretendido ao processar notebooks que contêm nomes de arquivos de anexos de célula manipulados. O `ExtractAttachmentsPreprocessor` passa os nomes dos arquivos de anexos diretamente para o sistema de arquivos sem sanitização, permitindo ataques de traversal de caminho. Esta vulnerabilidade fornece controle completo sobre o caminho de destino e a extensão do arquivo. A versão 7.17.1 contém um patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.