CVE-2026-39378 in nbconvert
Сводка
по VulDB • 02.06.2026
Инструмент nbconvert (jupyter nbconvert) преобразует Jupyter-блокноты в различные другие форматы с использованием шаблонов Jinja. В версиях от 6.5 до 7.17.0 при включенном параметре `HTMLExporter.embed_images=True` рендерер markdown в nbconvert позволяет произвольное чтение файлов через обход путей (path traversal) в ссылках на изображения. Злонамеренный блокнот может похищать конфиденциальные файлы с хоста, выполняющего конвертацию, путем их встраивания в виде base64-кодированных URI данных в выходной HTML-файл. В версии nbconvert 7.17.1 устранена данная уязвимость. В качестве временного решения не следует включать параметр `HTMLExporter.embed_images`; по умолчанию он отключен.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.