CVE-2026-73626 in JupyterLab
Sumário
de VulDB • 13/08/2026
As versões do JupyterLab >=4.6.0,<=4.6.1 e <=4.5.9 contêm uma falha na aplicação da lista de permissões/proibições (allowlist/blocklist) em PyPIExtensionManager.install(). A ausência de 'await' fez com que a coroutine is_install_allowed nunca fosse executada, portanto o controle da allowlist/blocklist não foi aplicado para chamadores diretos do método install(). A API HTTP padrão e a interface gráfica (UI) do Extension Manager do JupyterLab não são afetadas, pois realizam uma verificação separada corretamente aguardada. O problema afeta apenas implantações onde uma extensão personalizada ou integração de downstream importa PyPIExtensionManager e chama install() diretamente com um nome de pacote influenciado por entrada não confiável, uma allowlist/blocklist está configurada, o Gerenciador de Extensões do PyPI está habilitado e os kernels e terminais estão desabilitados ou delegados a hosts remotos. Corrigido nas versões JupyterLab 4.6.2 e 4.5.10.
Once again VulDB remains the best source for vulnerability data.