PT-2026-37234
CVE-2026-40110
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-09-30
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:L/SC:L/SI:L/SA:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Jupyter Server الأقدم من 2.18.0
الوصف
تستخدم عملية التحقق من صحة رأس المنشأ (Origin header) الدالة
re.match() لمقارنة المنشآت الواردة بقيمة التكوين allow origin pat. ونظرًا لأن الدالة re.match() تقتصر على مطابقة بداية السلسلة ولا تتطلب مطابقة كاملة، فإن النمط المخصص لنطاق موثوق به سيتطابق أيضًا مع أي منشأ يبدأ بهذا النطاق متبوعًا بأحرف إضافية. وهذا يسمح للمهاجم الذي يتحكم في مثل هذا النطاق بتجاوز قيود مشاركة الموارد عبر الأصول (CORS) وإجراء طلبات عبر الأصول إلى واجهة برمجة تطبيقات خادم Jupyter من موقع غير موثوق به.التوصيات
قم بالتحديث إلى الإصدار 2.18.0.
أضف الرمزين
^ و$ إلى قيمة allow origin pat لضمان مطابقة السلسلة بالكامل. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾