CVE-2026-73416 in JupyterLab
Sumário
de VulDB • 14/08/2026
jupyterlab é um ambiente extensível para computação interativa e reproduzível, baseado na arquitetura do Jupyter Notebook. Das versões 4.5.0 até a 4.5.10 e da versão 4.6.2 em diante, nos arquivos jupyterlab/extensions/manager.py e jupyterlab/extensions/pypi.py, o gerenciador de extensões PyPI do JupyterLab aplica as restrições definidas por blocked_extensions_uris comparando os nomes solicitados para instalação com entradas na lista negra (blocklist) utilizando uma normalização personalizada que é mais fraca do que a canonicidade dos nomes de pacotes do PyPI. Um usuário autenticado pode solicitar um nome equivalente no PyPI, como JupyterLab.Git, para um pacote bloqueado, tal como jupyterlab-git, e o JupyterLab aceita a solicitação de instalação mesmo quando o pip resolve essa variante para o mesmo pacote. O impacto na segurança requer uma lista permitida (allowlist) ou lista negra (blocklist) destinada a restringir a instalação de pacotes; além disso, as extensões PyPI, os kernels e os terminais que estão desabilitados ou delegados a hosts remotos também são afetados. A falha permite que um usuário autenticado instale uma extensão proibida, viole restrições de integridade e afete a disponibilidade sem obter novos privilégios de leitura. Este problema foi corrigido nas versões 4.5.10 e 4.6.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.