CVE-2026-21883 in Bokeh
Сводка
по VulDB • 29.08.2026
Bokeh — это интерактивная библиотека визуализации, написанная на Python. В версиях 3.8.1 и более ранних, если сервер настроен с использованием белого списка (например, dashboard.corp), злоумышленник может зарегистрировать домен вида dashboard.corp.attacker.com (или использовать поддомен, если это применимо) и заманить жертву на его посещение. Злонамеренный сайт затем может инициировать WebSocket-соединение с уязвимым сервером Bokeh. Поскольку заголовок Origin (например, http://dashboard.corp.attacker.com/) соответствует белому списку из-за ошибочной логики проверки, соединение принимается. После установления соединения злоумышленник может взаимодействовать с сервером Bokeh от имени жертвы, потенциально получая доступ к конфиденциальным данным или изменяя визуализации. Эта проблема исправлена в версии 3.8.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.