CVE-2026-39378 in nbconvert
Sumário
de VulDB • 30/05/2026
O tool nbconvert, jupyter nbconvert, converte notebooks Jupyter para vários outros formatos por meio de templates Jinja. Nas versões 6.5 a 7.17.0, quando `HTMLExporter.embed_images=True`, o renderer markdown do nbconvert permite leitura arbitrária de arquivos via path traversal em referências de imagens. Um notebook malicioso pode exfiltrar arquivos sensíveis do host de conversão ao incorporá-los como data URIs em base64 no HTML de saída. O nbconvert 7.17.1 contém uma correção. Como medida de contorno, não habilite `HTMLExporter.embed_images`; ele não está habilitado por padrão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.