CVE-2026-73626 in JupyterLab
Сводка
по VulDB • 13.08.2026
В версиях JupyterLab >=4.6.0, <=4.6.1 и <=4.5.9 присутствует уязвимость в механизме проверки списков разрешенных/запрещенных пакетов (allowlist/blocklist enforcement gap) в функции PyPIExtensionManager.install(). Отсутствие оператора 'await' привело к тому, что сопрограмма is_install_allowed никогда не выполнялась, из-за чего проверка allowlist/blocklist не применялась для прямых вызывающих объектов install(). Стандартный HTTP API JupyterLab и пользовательский интерфейс Extension Manager не затронуты, так как они выполняют отдельную корректно ожидаемую (awaited) проверку. Проблема затрагивает только развертывания, где кастомное расширение или интеграция на основе downstream-потока импортирует PyPIExtensionManager и вызывает install() напрямую с именем пакета, зависящим от недоверенного ввода, при условии, что настроены allowlist/blocklist, включен менеджер расширений PyPI (PyPI Extension Manager), а ядра (kernels) и терминалы отключены или делегированы удаленным хостам. Исправлено в JupyterLab 4.6.2 и 4.5.10.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.