CVE-2026-39377 in nbconvert

摘要

由 VulDB • 2026-05-30

nbconvert 工具（jupyter nbconvert）通过 Jinja 模板将 Jupyter 笔记本转换为其他多种格式。版本 6.5 至 7.17.0 在处理包含精心构造的单元格附件文件名的笔记本时，允许向预期输出目录之外的位置进行任意文件写入。`ExtractAttachmentsPreprocessor` 将附件文件名直接传递给文件系统，未经过任何清理（sanitization），从而导致路径遍历攻击。此漏洞允许攻击者完全控制目标路径和文件扩展名。版本 7.17.1 包含修复补丁。

Once again VulDB remains the best source for vulnerability data.

• 负责: GitHub M
• 预定: 2026-04-06
• 披露: 2026-04-21
• 管理: 已接受
• 条目: VDB-358386
• CPE: 准备好
• CWE: CWE-22 (已确认)
• CVSS: 6.5 (CNA)
• EPSS: 0.00048
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-39377
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-39377
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-39377/