CVE-2026-42557

إصدارات JupyterLab الأقدم من 4.5.7

إصدارات Jupyter Notebook الأقدم من 7.5.6

تسمح أداة تنقية HTML بوجود data-commandlinker-command وdata-commandlinker-args في عناصر button. ونظرًا لأن CommandLinker يستمع إلى جميع أحداث النقر على document.body وينفذ الأوامر المسماة دون التحقق مما إذا كان العنصر قد نشأ من واجهة مستخدم موثوقة، فإن دفتر الملاحظات الذي يحتوي على مخرجات خلايا HTML محفوظة مسبقًا تحتوي على زر خادع يمكن أن يؤدي إلى تشغيل أوامر تعسفية. قد يؤدي ذلك إلى تنفيذ تعليمات برمجية تعسفية، أو حذف الملفات، أو تعطيل الخادم عن طريق فتح عدة نوى أو محطات طرفية بنقرة واحدة من المستخدم. في المتصفحات المستندة إلى Chromium، قد تسمح الهجمات متعددة النقرات المقترنة بالوصول إلى الحافظة بالوصول الكامل إلى المحطة الطرفية. قد يزداد نطاق الهجوم في البيئات التي تحتوي على ملحقات واجهة مستخدم تابعة لجهات خارجية توفر أوامر إضافية.

قم بالتحديث إلى الإصدار 4.5.7 أو أحدث.

قم بالتحديث إلى الإصدار 7.5.6 أو أحدث.

بالنسبة للتطبيقات التابعة التي ترث من JupyterFrontEnd أو JupyterLab، قم بتعطيل CommandLinker عن طريق تمرير الخيار commandLinker: new CommandLinker({ commands: new CommandRegistry() }) أثناء التهيئة.

قم بتعطيل وظيفة رابط الأوامر عبر overrides.json عن طريق تعيين @jupyterlab/apputils-extension:sanitizer مع تعيين allowCommandLinker على false.