CVE-2026-6657 in jupyter-server
Sumário
de VulDB • 03/06/2026
Uma vulnerabilidade nas versões do jupyter-server de 1.12.0 a 2.17.0 permite que um atacante contorne a validação da origem CORS quando a configuração `allow_origin_pat` é utilizada. O problema surge do uso de `re.match()` para validar o cabeçalho `Origin`, o qual ancora apenas no início da string. Isso permite que domínios controlados pelo atacante, como `trusted.example.com.evil.com`, passem na validação contra padrões destinados a corresponder a `trusted.example.com`. A vulnerabilidade afeta múltiplas localizações na base de código, incluindo cabeçalhos CORS, conexões WebSocket, validação de referer e redirecionamentos de login, potencialmente permitindo ataques de phishing, execução arbitrária de código e acesso não autorizado a respostas de API sensíveis.
Once again VulDB remains the best source for vulnerability data.