PT-2026-37244
CVE-2026-40864
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-07-23
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات JupyterHub من 4.1.0 إلى 5.4.4
الوصف
عالجت الحماية من XSRF الطلبات التي تحتوي على رأس
Sec-Fetch-Mode: no-cors بشكل غير صحيح على أنها طلبات من نفس المصدر، مما سمح بتجاوز فحوصات XSRF. يؤثر هذا على نقاط نهاية نماذج HTTP، مثل ’/hub/spawn‘ و ’/hub/accept-share‘، بينما تظل واجهة برمجة تطبيقات JSON غير متأثرة. يمكن للمهاجم تشغيل خادم فرعي أو، في حالة السماح له بمشاركة الوصول إلى الخادم، إجبار المستخدم على قبول المشاركة والحصول على حق الوصول إلى خادم المهاجم.التوصيات
قم بالتحديث إلى الإصدار 5.4.5.
كإجراء تخفيفي مؤقت، في حالة استخدام وكيل عكسي، قم برفض الطلبات الموجهة إلى JupyterHub التي تحتوي على رأس
Sec-Fetch-Mode: no-cors.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾