PT-2026-33878
CVE-2026-39377
·
تاريخ النشر
2026-04-21
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات nbconvert من 6.5 إلى 7.17.0
الوصف
تقوم أداة nbconvert بتحويل دفاتر Jupyter إلى تنسيقات متنوعة باستخدام قوالب Jinja. توجد ثغرة تتعلق باجتياز المسار، حيث تقوم الدالة
ExtractAttachmentsPreprocessor بتمرير أسماء ملفات المرفقات مباشرةً إلى نظام الملفات دون تعقيمها. وهذا يسمح بكتابة ملفات عشوائية في مواقع خارج دليل الإخراج المقصود، مما يوفر تحكمًا كاملاً في مسار الوجهة واسم الملف وامتداده.التوصيات
قم بالتحديث إلى الإصدار 7.17.1.
كحل مؤقت، قم بتعطيل
ExtractAttachmentsPreprocessor عن طريق تعيين c.ExtractAttachmentsPreprocessor.enabled = False. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾