CVE-2026-21883 in Bokeh
Tóm tắt
Bởi VulDB • 28/06/2026
Bokeh là một thư viện trực quan hóa tương tác được viết bằng Python. Trong các phiên bản từ 3.8.1 trở xuống, nếu máy chủ được cấu hình với danh sách cho phép (allowlist) (ví dụ: dashboard.corp), kẻ tấn công có thể đăng ký tên miền như dashboard.corp.attacker.com (hoặc sử dụng tên miền con nếu áp dụng được) và lừa nạn nhân truy cập vào đó. Trang web độc hại sau đó có thể khởi tạo kết nối WebSocket đến máy chủ Bokeh dễ bị tổn thương. Vì tiêu đề Origin (ví dụ: http://dashboard.corp.attacker.com/) khớp với danh sách cho phép theo logic khiếm khuyết, kết nối sẽ được chấp nhận. Sau khi đã kết nối, kẻ tấn công có thể tương tác với máy chủ Bokeh thay mặt nạn nhân, từ đó tiềm ẩn nguy cơ truy cập vào dữ liệu nhạy cảm hoặc sửa đổi các hình ảnh trực quan (visualizations). Vấn đề này đã được khắc phục trong phiên bản 3.8.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.